Евгений

Валидацию надо и на js и на бэкенде.

В сервлете в условном методе login делаем все проверки входящих полей.
Затем в ModelAndView(её возвращает метод) пакуем:

if (StringUtils.isEmpty(username)) {
    model.addObject("error", "Empty username");
}

Ну и на jsp просто выводим в span какой-нибудь error, если он не пустой

<c:if test="${not empty error}">
    <div class="error">${error}</div>
</c:if>

Как пример, вот:
https://www.mkyong.com/spring-security/spring-secu...