Вы ничего не можете сделать, чтобы запретить пользователю повторное посещение ранее посещенного URL, даже после того, как он вышел из системы.Ваш код управления сеансом должен управлять этой ситуацией.Если у пользователя больше нет действительного сеанса, запрос не должен выполняться.
Если вы пытаетесь запретить браузеру отображать кэшированную версию страницы после входа в систему после выхода пользователя из системы, выможно установить заголовок HTTP Cache-Control со значением no-cache на страницах, доступных после входа в систему.