我在一个退出的页面中进行session.invalidate();   
然后返回到了另一个页面。   
但是但我在地址拦直接输入URL后，还能进入不允许进入的页面，这是为什么呀？

哦？今天没人在吗？

楼主想要描述什么呢？ 说的很含糊滴
比如 用的什么浏览器， 做了什么事(如登陆/注销)....

楼主能不能说的具体点很含糊

汗了，登陆之后，点击退出，返回到登陆页面，在登陆页面的时候，我在地址栏里输入某个页面的路径，然后就能按照曾经登陆的用户的权限浏览网页，但是我在点击退出的时候是做过清除session的操作的，不知道这是为什么。
够清楚了吗？

具体我不记得 你可以去百度

你是怎么判断用户权限的呢,登陆满足哪些条件恩
在退出时,是否做足了相应处理呢.
看不到代码，无法解答

后台管理的每个页面都要加权限控制,判断Session
例:
<%
if (session.getAttribute("username")==null) {
out.println("<script>alert("权限不够")</script>");
}
%>
如果你加了,而且session.invalidate()了,这样还能进，估计就是你人品问题了
或者你用用,session.removeAttribute("username")

对session为null的判断加了，你说的那两个清session的方法我都试过，没作用，真头疼

那就是你人品问题了