В итоге сделал обычную авторизацию с использованием сессий (логин и пасс беру через WWW-Authenticate - так хотел заказчик), но вопрос остается открытым:

Возможно ли сделать нормальный выход без помощи дополнительных довесков?