si tu fais un session.destroy() tu la détruit. Mais si juste après ton code tente d'accéder à la session, ça en recrée un nouvelle.

Fermer un navigateur ne détruit pas une session, tomcat n'a...