Идея верная. В нюансах какое-то недопонимание. Что значит "этот объект чистится"? У HTTP Session в спецификации подробно описан жизненый цикл и поведение. Нет там никакого "чиститься".
Для высоконагруженых приложений, вынос данных из серверной сессии на клиента может существенно упростить кластеризацию и некоторые другие моменты. Данные на клиенте можно хранить как в куках, так и просто на странице в DOM. Но обратите внимание что клиент имеет полный доступ к этим данных. Для их защиты имеет смысл эти данные, например, подписывать.
jsessionid и так живет в куках. Нужно только задать правильное время жизни и решить серверные проблемы, если там сессия действительно "чиститься"

st4jПри авторизации я сохраняю логин, пароль и им соответствующую сессию, верно?
Чего? Никто не сохраняет логи и пароль при "авторизации".
Во-первых авторизация и аутентификация это два разных термина.
Во-вторых есть такие фреймверки как JAAS и Spring Security, где всё уже написано за нас.

st4jА как потом с этим работать?
С чем?

st4jНе в каждом же запросе восстанавливать авторизацию?
Чего куда восстанавливать? Прочитайте любую книжку по сервлетам. Там доступно будет написано про jsessionid.
Сервер уже хранит в куках id сессии, если вы об этом. Если вы хотите полностью свой менедже сессий, то самостоятельно выбирайте что вы хотите хранить на клиенте, а что нет.