Валидацию надо и на js и на бэкенде.
В сервлете в условном методе login делаем все проверки входящих полей.
Затем в ModelAndView(её возвращает метод) пакуем:
if (StringUtils.isEmpty(username)) {
model.addObject("error", "Empty username");
}
Ну и на jsp просто выводим в span какой-нибудь error, если он не пустой
<c:if test="${not empty error}">
<div class="error">${error}</div>
</c:if>
Как пример, вот:
https://www.mkyong.com/spring-security/spring-secu...