Чтобы ограничить доступ к веб-приложению (или к папке в URL-адресе веб-приложения) в Tomcat:
в webapps/MyApp/WEB-INF/web.xml
add
<security-constraint>
<web-resource-collection>
<web-resource-name>
Entire webapp
</web-resource-name>
<url-pattern>/*</url-pattern>
</web-resource-collection>
<auth-constraint>
<role-name>member</role-name>
</auth-constraint>
</security-constraint>
<login-config>
<!-- pay attention: BASIC in insecure, use it only for test, search for a more secure method -->
<auth-method>BASIC</auth-method>
<realm-name>Text reported when prompting the user for un and pw</realm-name>
</login-config>
и в conf/tomcat-users.xml
add
<role rolename="member"/>
<user username="bubi" password="bubi" roles="member"/>
Затем перезагрузите веб-приложение и, возможно, перезапустите Tomcat.
Источник: Десять советов по настройке Tomcat от O'Reilly - 5. Настройка базовой аутентификации
По поводу второго вопроса, я не знаю, как это понять.