request.getSession () недействительными ().
не будет работать разрешает ...
поэтому через 1 шаг после успешного входа в систему установите сеанс session.setAttribute ("loginstatus", "true");
при выходе установите это значение "ложь";
и для страницы входа в систему укажите файл authentication.jsp
который позволяет проверить состояние сеанса "loginstatus", если оно ложно, тогда он перенаправляет управление на страницу входа в систему .... Я думаю, это будет работать ...