Хорошо. Что я хочу сделать, так это иметь возможность, когда я обновляю пользователя, сделать недействительным любой сеанс, который у него есть в настоящее время, чтобы принудительно обновить учетные данные. Меня не волнует возможность прямого доступа к пользовательским данным сессии. В идеале я также мог бы ограничить пользователей одним сеансом аналогичным образом.

Я попытался создать HashMap, используя имя пользователя в качестве ключа и HttpSession в качестве значения (моя фактическая установка немного сложнее, но после повторных, казалось бы, необъяснимых сбоев я свел его к этому простому тесту). Однако всякий раз, когда я пытаюсь сообщить извлеченному HttpSession о недействительности, он, похоже, делает недействительным текущий сеанс [admin]. HttpSession неразрывно связан с текущим запросом?

Или есть совершенно другой способ справиться с этим?

Если это имеет значение, я использую Jetty 6.1.26.