make destroy() idempotent