Was das Logout bei ".htaccess" betrifft. Das Läuft auf einer ganz anderen ebene ab als Das Login/Logout per Script. das passiert auf HTTP Ebene, und wird vom Apache kontrolliert. Wenn sich ein Nutzer verbinden will und das ohne Name und Passwort macht, meldet der Server einen Fehler und der Client zeigt dem Nutzer das Login Fenster. Sind Name/Passwort korrekt eingetragen merkt sich der Browser diese und sendet sie ab diesem Zeitpunkt bei jedem Aufruf mit. Ein Server gesteuertes Logout ist nicht vorgesehen.

Was du aber machen kannst:
Wenn ein Nutzer auf ein "Logout"-Button clickt wird eine "Falsche" Loginanfrage Gesendet ("Authentification Required") Der Client verwirft Name und Passwort des letzten Login und fragt beim Nutzer neu nach. Das ist aber nicht 100% zuverlässig, da nicht festgelegt ist was der Client mit dem alten Passwort machen soll. Jedoch verhalten sich die meisten Browser wie beschrieben und löschen das alte Passwort/Name.