Hallo,
ich glaube der UnLoad-Event dürfte Dir im Prinzip nix nützen, da dieser erst ausgelöst werden kann, wenn die Seite zuvor komplett geladen wurde.
Kleiner Tip:
a.) Du überdenkst nochmal Deine Implementation Deines Session-Handlings (PHP).
b.) Versuche doch die Authentifizierung nicht in einem Popup-Fenster durchzuführen, sondern in einem <iframe>
Ciao
Sebastian