Обработка сеанса, если страница в формате .html весной

В HTML вы не можете отслеживать сеанс как JSP. Но используя концепцию cookie, вы можете сохранить sessionID и передать этот идентификатор сеанса во всех последующих вызовах отдыха и проверить идентификатор сеанса с сохраненным идентификатором sessionend. После того, как пользователь выйдет из системы, очистите SessionID от бэкэнд-сессии и очистите файл cookie. Если cookie не найден, попросите пользователя войти/подтвердить подлинность

HttpSession session = request.getSession();

HttpServletResponse response = //
response.setHeader("JSESSIONID", session.getId());

Другим подходом является безопасность с весной. Когда вы проверяете подлинность пользователя с помощью весенней безопасности, он будет хранить имя пользователя/пользователя в контексте безопасности, и вы можете настроить свою безопасность для аутентификации всех определенных URL-адресов для отдыха

@Override
    protected void configure(HttpSecurity http) throws Exception {
        http.antMatcher("/url").authorizeRequests();
}