关于HttpSession的一些问题

各位高手，我想请问一下关于HttpSession的问题：
1、HttpSession instance 产生的时间。也就是其instance在什么时候初始化的（在配置了用户身份认证方法（如Form-Based Authentication)的情况下）。
2、假设有一个用户在访问我WebApp，同时WebApp也为该用户生成了一个HttpSession Instance，但如果用户在该session instance的生存期内退出我的WebApp（用户退出时未调用session.invalidate（）），那么该session instance会怎样。
3、我有两个WebApp，即：WebApp1和WebApp2。用户从登录WebApp1，然后WebApp1将用户的request 发送（dispatch）到WebApp2，那么，
（1）在两个WebApp中调用（request.getSession())得到的session instance是一个吗？
（2）如果假设得到的session instance不一样，我在WebApp1中采用Form-based认证方法来验证了用户的身份，那么我在WebApp2中调用request.getSession(true)得到的session是那个WebApp中的呢？
多谢高手指点。