questo è quello che faccio io
nella jsp login
if (miSonoLoggato())
session.setAttribute("logged", "true");
else
session.removeAttribute("logged");
in tutte le pagine
String logged = (String)session.getAttribute("logged");
if (logged == null || !logged.equals("true"))
response.sendRedirect("login.jsp");