いや～、はまっている。adminで初めてログインしたときにパスワードを変更するところではまっている。中身について説明すると、PasswordCredentialValveImpl#invokeでパスワードの有効期限が切れていたりすると、プロファイルでsecurityに定義された流れでPSMLを探す。つまり、PasswordCredentialValveImplで表示するページをコントロールしている。adminで初めてログインするときには、PasswordCredential#isUpdateRequiredがtrueになっているため、ページが飛ばされる。っで、my-account.psmlが表示され、パスワード変更ポートレットが表示される。次に、新しいパスワードを入力し、送信すると、ChangePasswordPortletのprocessActionで新しいSubjectを生成して、JetspeedRequestContextのセッション（つまり、ポートレットのセッションではなく、J2のセッション）に入れる。で、このセッションで問題が発生している！PortalFilterをかませたときだけ、どうやら、新規にセッションが作られているみたいだ。そういわけで、謎のセッションに新しいSubjectを入れて、結局、PortalFilterでセッションから古いSubjectを再度取得して、isUpdateRequiredがtrueのままなので、再び、my-account.psmlを表示する。まずは、なぜ、PortalFilterをかませたときだけ、謎のセッションが来るのかを突き止める必要がある。現在の予想では、ラップしているところに問題があるような気もしている。コード内では、getRequest()でラップしたやつをとったりする場合がいくつかあるし。というわけで、調査中。結構、ややこしいので、調べるのに時間がかかっているな・・・。