_webdev_- Как HttpSession распознает пользователей?

Этот класс никак не связан с пользователями и никак их не распознаёт. Браузер хранит jsessionid в куках или параметрах запроса. Сервер по jsessionid трекает сессию на сервере.

_webdev_При первом запросе говорит что сессия новая, при всех последующих JSESSIONID в сессии тот же, но значение isNew=false.

Набор слов какой-то. isNew это аргумент метода. Это, возможно, ключ к вашему первому вопросу. Если вызывать сессию с параметром false, то она не будет создана на сервере, если её ещё нет. В JavaDoc имеется более точная формулировка.

_webdev_- не понимаю как сравнивать сессии? Просто сравнивать строчки JSESSIONID?

Зачем их сравнивать? Они, обычно, никак не взаимодействуют.

_webdev_-зачем все вставляют дополнительный атрибут httpSession.setAttribute("username", username); ? Как оно связывается между собой?

Почему этот атриубут вдруг дополнительный? Просто когда влом использовать JEE для аутентификации и авторизации, пишут всё ручками в сессию.

_webdev_Вопросы возможно глупые, но буду благодарен за ответы.
Да. Над формулировкой надо поработать. Потому что по вашим словам HttpSession это прям магия какая-то. А это просто Key Value Map для того чтобы на сервере хранить значения связанные с клиентской сессией.