Не уверен, что вы программируете на Java, но подсказка дескриптора депиляции web.xml выглядит как Java.В этом случае попробуйте выполнить следующие действия:
HttpSession session = request.getSession(false); // fetch a reference to the existing session
...
session.invalidate(); // invalidates this session and unbinds any objects bound to it