GWT framework - вы пишете полноценное AJAX-приложение, поэтому вы можете хранить все, что вам нужно, на стороне клиента, а на сервер отправлять только токены авторизации (которые могут храниться в одноразовой памяти или в базе данных для проверки).
Любое решение javascript для клиентской части, где вы можете сделать то же самое.На стороне клиента вы можете использовать Spring MVC только для реализации бизнес-методов и разрешения их через REST каналов ( JSON в качестве протокола передачи данных является предпочтительным вариантом).