Всегда ли создается объект сессии на странице JSP, и можно ли отключить его создание?

Нет, не всегда. По умолчанию объект session доступен на всех JSP-страницах. Это происходит благодаря тому, что директива <%@ page session="true" %> включена по умолчанию. Чтобы отключить автоматическое создание объекта сессии для конкретной страницы, нужно установить атрибут session в false:

jsp

При этом директива <%@ page import="javax.servlet.http.HttpSession" %> остается активной, но попытка получить сессию через request.getSession() без создания (например, request.getSession(false)) вернет null, если сессия еще не была создана ранее в этом запросе или при предыдущем взаимодействии пользователя с приложением.

Отключение сессии может быть полезно для статических страниц или страниц, которые не требуют сохранения состояния между запросами, что позволяет немного снизить нагрузку на сервер.