我在一个退出的页面中进行session.invalidate();   
然后返回到了另一个页面。   
但是但我在地址拦直接输入URL后，还能进入不允许进入的页面，这是为什么呀？

哦？今天没人在吗？

汗了，登陆之后，点击退出，返回到登陆页面，在登陆页面的时候，我在地址栏里输入某个页面的路径，然后就能按照曾经登陆的用户的权限浏览网页，但是我在点击退出的时候是做过清除session的操作的，不知道这是为什么。
够清楚了吗？

对session为null的判断加了，你说的那两个清session的方法我都试过，没作用，真头疼

这几句是做什么用的啊？在什么地方加？在清session的时候吗

还是不行

我在index.jsp里打印当前用户的权限，发现只有当我正常登录的时候才有结果，当我退出之后再用写地址的方式打开index页面发现并没有出现打印结果，就好像index的页面代码没运行过一样，但是页面却正常显示了，这是怎么回事啊

System.out.println(session.getAttribute("user") + "/" + session.getAttribute("pope"));
String strSession = "";
if (session.getAttribute("pope") != null)
{
    strSession = (String)session.getAttribute("pope");
}
else
{
    response.sendRedirect("login.jsp");
}

好的，我去试试