<security-constraint>
	<web-resource-collection>
		<web-resource-name>Restricted Area</web-resource-name>
		<url-pattern>/fan/*</url-pattern>	<!-- ここに制限したいディレクトリ -->
	</web-resource-collection>
	<auth-constraint>
		<role-name>user</role-name>
	</auth-constraint>
</security-constraint>
<login-config>
	<auth-method>BASIC</auth-method>
	<realm-name>Restricted Area</realm-name>
</login-config>
	<security-role>
	<role-name>user</role-name>
</security-role>

<tomcat-users>
	<user username="admin" password="password123" roles="user"/>
</tomcat-users>

<security-constraint>
	<web-resource-collection>
		<web-resource-name>Restricted Area</web-resource-name>
		<url-pattern>/fan/*</url-pattern>	<!-- ここに制限したいディレクトリ -->
	</web-resource-collection>
	<auth-constraint>
		<role-name>user</role-name>
	</auth-constraint>
</security-constraint>
<login-config>
	<auth-method>FORM</auth-method>
	<realm-name>Restricted Area</realm-name>
	<form-login-config>
		<form-login-page>/fan-login.html</form-login-page>	<!-- ログインページ -->
		<form-error-page>/login-error.html</form-error-page>
	</form-login-config>
</login-config>
<security-role>
	<role-name>user</role-name>
</security-role>

<form method="POST" action="j_security_check">
	<input type="text" name="j_username" placeholder="ユーザー名">
	<input type="password" name="j_password" placeholder="パスワード">
	<button type="submit">ログイン</button>
</form>

<filter>
	<filter-name>AuthFilter</filter-name>
	<filter-class>test.AuthFilter</filter-class>
</filter>
<filter-mapping>
	<filter-name>AuthFilter</filter-name>
	<url-pattern>/fan/*</url-pattern>
</filter-mapping>

public class AuthFilter implements Filter {

	public void doFilter(ServletRequest request, ServletResponse response, FilterChain chain)
			throws IOException, ServletException {

		// リクエスト・レスポンスをHTTP用にキャスト（HTTPの機能を使うため）
		HttpServletRequest req = (HttpServletRequest) request;
		HttpServletResponse res = (HttpServletResponse) response;
		// 現在のセッションを取得（存在しない場合は null を返す）
		HttpSession session = req.getSession(false);

		// セッションまたはログイン情報がなければ、ログインページへリダイレクト
		if (session == null || session.getAttribute("fanusername") == null) {
			res.sendRedirect(req.getContextPath() + "/fan-login.html");
			return;
		}

		// 無操作時間をリセット(3分)し、次の処理へ渡す。
		session.setMaxInactiveInterval(180);
		chain.doFilter(request, response);
	}
}

<form method="POST" action="/fanLoginServlet">
	<label>ユーザー名: </label><input type="text" name="username" required>
	<label>パスワード: </label><input type="password" name="password" required>
	<input type="submit" value="ログイン">
</form>

@WebServlet("/fanLoginServlet")
public class LoginServlet extends HttpServlet {

	protected void doPost(HttpServletRequest request, HttpServletResponse response)
			throws ServletException, IOException {

		// リクエストパラメータを取得
		String username = request.getParameter("username");
		String password = request.getParameter("password");

		// ユーザー認証
		if (isValidUser(username, password)) {
			HttpSession session = request.getSession();
			session.setAttribute("fanusername", username);
			session.setMaxInactiveInterval(180); // 3分で自動ログアウト
			response.sendRedirect("/fan/tobishimaProcedure.html"); // 認証成功後のリダイレクト先
		} else {
			response.sendRedirect("/fan-login.html?error=1"); // 認証失敗後のリダイレクト先
		}
	}

	/**
	 * ユーザー名とパスワードを使って、認証を行うメソッド。
	 *
	 * @param username 入力されたユーザー名
	 * @param password 入力されたパスワード（プレーンテキスト）
	 * @return 認証に成功すれば true、失敗すれば false
	 */
	private boolean isValidUser(String username, String password) {
		～　（略）～
	}
}