io agirei a monte:
quando uno effettua il login, prima di loggarlo controllo che nessun'altro si sia loggato con lo stesso user/pwd.

per quel che riguarda cancellare il file di sessione.. ma quello non risiede sul client?