Fechar aba e fechar sessÃo (jsf)

De um modo geral td site funciona assim, ñ vejo brech de segurança nenhuma nisso. Sessões web tem um tempo de expiração. Eles só são fechadas quando o esse tempo passa sem atividade do usuário ou quando o usuário pede p/ fazer logout.

Olá dev.rafael

Concerteza! Tenho observado isso na maioria dos websites, porém, creio que há excessões, como sites de BANCOS por exemplo, que ao fechar a aba, você automaticamente tem sua sessão fechada.

Valeu!

Se vc observar as configurações do seu servidor vc vai encontrar meios de configurar o timeout da sessão (ao menos no Glassfish) e vc ainda pode fazer isso usando tags no seu web.xml, vc nem precisa implementar isso, esse é um recurso presente em todo servidor web ñ apenas os JEE. P/ a maioria das aplicações web isso ñ só ñ será um problema como será um comportamento desejado, eu ñ me preocuparia demais, a menos q vc tenha um cenário bem específico q exija tal cuidado. Bom, de qualquer forma, se vc realmente deseja encerrar a sessão do usuário quando ele fechar o browser/aba vc pode implementar isso usando um script javascript q ao fechar a página enviará uma requisição à uma servlet (ou qualquer coisa) q irá invalidar a sessão e limpar os dados do usuário.