artshelom, js работает на стороне клиента, в браузере. У него нет доступа к объекту сессии.
Когда пользователь запрашивает страницу, на сервере отрабатывает шаблонизатор Thymeleaf, вписывает вместо [[${session.object.number}]] конкретное число, например 42, получившийся текст страницы
<script>
var a = 42;
alert(a);
</script>
отправляется по сети клиенту, у клиента в браузере анализируется и запускается javascript'ом, который выделяет в памяти переменную а и записывает в неё числовой литерал 42.
Фактически, сайт - это две разных программы, фронтенд и бэкенд, обменивающиеся текстовыми данными через сеть.