No utilice el método de invalidación de HttpSession para el cierre de sesión de seguridad programática. En su lugar, utilice el método de cierre de sesión HttpServletRequest que se introdujo en Java EE 6 como parte de la especificación de Servlet 3.0.
Para obtener más información, consulte HttpServletRequest.