Das geht, aber nur mit Sicherheitswarnung, was auch unschön ist.
Und man kann natürlich auf Anforderung auch einfach einen 403 zurücksenden, das fordert den Benutzer dann dazu auf, seine Daten neu einzugeben. Drückt er auf Abbrechen, bekommt er den Body des mit 403 beantworteten Requests. Schön ist das aber auch nicht.
Andererseits: Wo keine Session existiert braucht man auch keinen Logout.