No geral logout envolve invalidação da sessão http.
Não sei qual tipo de autenticação você utiliza mas se estiver você mesmo controlando
isso com o usuário na sessão, no geral invalidar e fazer a checagem é uma saída.
Resumindo, eu seto em um atributo global os bytes do arquivo (avatar) e através de StickyAction (abençoado Menta...) eu pego esse arquivo na action de preview, que é acionada pela propria tag da imagem (<img src="...")
É isso! Valew pela atenção!