Quando una sessione viene chiusa, ad esempio, quando si attiva un timeout o quando l'utente fa clic sul pulsante di disconnessione, la sessione deve essere chiusa sul lato server in modo tale che il cookie di sessione non sia valido.
Penso che potrebbe essere utile impostare anche un valore vuoto o non valido del cookie di sessione nel browser, anche se si tratta di un cookie temporaneo. Ad esempio, quando fai clic sul pulsante Disconnetti, il server può rispondere con un Set-Cookie che imposta un valore non valido per il cookie.
Questa misura migliora la sicurezza del sito o è "troppo" avendo in considerazione che il cookie è temporaneo e la sessione è chiusa correttamente sul lato server?