Я хотел бы добавить, что если вы создадите новый сеанс для каждого нового пользователя, подключающегося к вашему веб-сайту, тогда ваша производительность сильно пострадает. Используйте request.getSession (false), чтобы проверить, есть ли у пользователя сеанс. С помощью этого метода вы не создадите новый сеанс, если собираетесь визуализировать представление на основе того, аутентифицирован ли пользователь или нет.