П>Правда, такое решение не очень секьюрно — адрес с id сессии может остаться в выпадающем списке адресной строки браузера.

Да, это точно =)
А можно ли как-нибудь завершить текущую сессию сразу после закрытия, а не ждать таймаута??

П>Но я не знаю, зачем вам понадобилось разлогинивать именно при закрытии закладки, а не всего браузера, поэтому не могу судить, насколько это критично.

Необходимо разлогинивать при окончании работы с сайтом. А это происходит и при закрытии сайта, и при закрытии вкладки.