Spring Security в веб-контексте по умолчанию использует сеанс.Вам не нужно делать ничего особенного, чтобы это произошло.Вы можете настроить его на работу без , используя сеанс, но это не тривиально и может вызвать больше проблем.
По умолчанию описанное вами поведениекак будет работать Spring Security:
1 - Страница запроса
1a - Если у сеанса есть разрешение на просмотр страницы, разрешите запрос через
1b - Если у сеанса нет разрешения на просмотрстраница, перенаправить на экран входа в систему
2 - отправить форму входа в систему
2a - при успешном входе в систему перенаправить на первоначально запрошенную страницу
2b - если вход в систему не выполнен, вернуть сообщение об ошибке на экране входа в систему
Я бы посоветовал просмотреть руководства пользователя на веб-сайте Spring Security и перейти оттуда.Если у вас возникли проблемы, пожалуйста, опубликуйте еще один вопрос здесь с тем, что вы пробовали, а что не работает, но, пожалуйста, сначала попробуйте сами.Вы получите намного дальше, чем вы думаете.