Во-первых, вам лучше поместить пользователя в сеанс, чтобы преобразование cookie> пользователя не происходило при каждом запросе.
Во-вторых, вы можете просто получить его оттуда (сеанс / запрос), позвонив по номеру
User user = (User) session.getAttribute(USER_KEY); // this is s String constant
В качестве альтернативы, вы можете создать класс UserHolder
, где вы передаете HttpSession
, и он дает вам пользователя, тем самым избавляя вас от кастов в вашем коте контроллера.
Тот же подход можно использовать с HttpServletRequest
.