Login via sessions

Vi har en række sider der skal beskyttes af login, og vi har valgt at gøre det på den måde, at alle på de sider der skal beskyttes undersøger vi i starten om der som en del af requestet kommer et ID med over. Gør der ikke det, smider vi session.getId() op i request og sender dem tilbage på login-skærmen. Her kommer så sådan set to spørgsmål i ét.

1) Når vi gemmer "id" i session.setAttribute("",object);, så behøver man vel sende den med hver gang - den skulle vel være for alle links hele tiden så længe den er klaret første gang. Alle andre gange bliver den vel synlig eftersom den allerede ER lagt der ind.

2) Problemet er bare, at det ikke helt virker. Vi lægger scriptet i en fil, som vi så henter med <jsp:include> på alle siderne. Metode:

String id = (String)request.getAttribute("id");
if(id==null)
{
    session.setAttribute("id", session.getId());
    %>
    <jsp:forward page="Login.jsp"/>
    <%
}
%>


Problemet er bare, at det kommer en fejl ved det.
java.lang.IllegalStateException: Cannot forward after response has been committed


Any ideas?