Devi gestire una mappa degli utenti che hanno effettuato l'accesso, Map<String, String> userToSessionIdMap
quando l'utente accede, controlli se esiste una sessione per questo nome utente se sì nega altrimenti consenti l'accesso,
Ora al logout devi rimuovere la voce dalla mappa, inoltre devi implementare HttpSessionBindingListener
quindi alla scadenza della sessione rimuove nuovamente la voce
Vedi anche