IDVsbruckОк.
Ссылки, в принципе, бестолковые, но хотя бы понял, куда смотреть.
Кстати, перед тем, как задавать вопрос, перелопатил не одну сотню страничек.

JSP:
...
<% String randomStr = String.valueOf((new java.util.Random()).nextInt());%>
<% session.setAttribute("sessionAttr", randomStr); %>
...
<input type=hidden name=formAttr value="<%= randomStr %>"/>
...

servlet:
...
String sessionAttr = (String) _request.getSession().getAttribute("sessionAttr");
String formAttr = _request.getParameter("formAttr");
if (sessionAttr != null && formAttr != null) {
if (!sessionAttr.equals(formAttr)) isnotRefresh = false;
}
...

Поэтому все равно большое спасибо!

isnotRefresh - моветон. по-русски - гавно. java-код в JSP - моветон, по-русски - уже сказал. isnotRefresh должен быть isRefresh. isNotValid должен быть isValid, isNotRed должен быть isRed. напишите этот текст 25 раз, нажимая одним пальцем любой руки клавиши, в любом текстовом редакторе, тщательно проговаривая слова. должен быть стиль. должно быть красиво. ява - все же женского рода. не надо ее уродовать толстыми мужскими грубыми пальцами.