JSP sessions

[kju]

wo werden JSP-sessions am server eigentlich abgespeichert?

werden gar nicht am server abgespeichert, sondern in einem session coockie am client

allerdings versteh ich dein problem nicht ganz.
mit der session wir der request eindeutig einem client zugeordnet, sprich sobald du mit

HttpSession session = request.getSession(true);

eine referenz auf das session objekt erzeugt hast, hat der client eine session die existiert bis er den browser schließt oder du sie mit

session.invalidate();

beendest. darin kannst dann soviele objekte, speichern wie du willst z.b artikel im warenkorb usw.