Cerca:

Dovrei andare a leggere la documentazione di Thymeleaf, per sicurezza.

Comunque un approccio molto migliore è questo. Quando invii il form con i dati per generare la immagine, generi dinamicamente...

Questo di per sé non è un buon approccio. Che succede se ci sono più utenti?


L'url è fisso, quindi il browser fa il caching della immagine e non la richiede più.
In tal caso basterebbe...

Premesso che dal codice che hai postato non è che si possa capire molto. Non è nemmeno scritto bene (probabilmente copia-incollato male ... mi auguro nel tuo progetto non sia scritto così mal...