Вот код странички login.jsp:


Как вы думаете после того как нажмете logoff, Вы увидите тот же Id, а что будет после перезагрузки сервера? Объясните, что конкретно делает invalidate()?

invalidate() берёт и удаляет сессию. А request.getSession() создаёт новую, если её нет. Про Id - неизвестно. Но какая разница какой там id-то?

что значит удаляет?
Id - это идентификатор, то есть у разных сессий должен быть разный Id. А выходит на практике, что даже перезагрузка сервера оставляет один и тот же id, но вот если открыть страничку в другом окне, то id меняется. Получается что поддержку сессий осуществляет браузер, а не сервер. Это возможно?

удаляет - значит забывает об этом айдишнике и удаляет всю связанную с этой сессией информацию.

нет, конечно браузер не осущевляет поддержку сессий, просто при запросе браузера, сервер создает область памяти, в которой постоянно хранит какие-то данные, от запроса к запросу, и естественно что id сессии будет зависеть от браузера(вернее сказать от запросов, может быть id формируется на основании каких-то клиентских данных) , но не больше. Ес-но что при открытии нового окна будет и новый id, ведь сессии уникальны, насчет того что id сессии такой же после перезагрузги сервера, то это не чистый эксперимент, попробуй перезагрузи сервер, и зайди с другой машины, не уверен что у тебя будет такой же ID

если зайду с другой машины надо открыть новое окно. Как различить две сессии не добавляя специальных аттрибутов в нее? сервер наверняка это делает?
Проделал этот тест на томкэте 4.1, все работает логично, после каждой инвалидации id новый в том же окне, а вот на jboss 4.0.3(на других не пробывал) он остается тем же=(