Zrobiłem poniższy serwlet. Na serwerze jest tutaj:
https://rnest.jhost.pl/StronaZahaslowana/
hasło:haslo
user:user
Kod serwletu:

 package pak1;

import java.io.File;
import java.io.FileInputStream;
import java.io.FileNotFoundException;
import java.io.IOException;
import java.io.PrintWriter;
import java.util.Properties;

import javax.servlet.ServletConfig;
import javax.servlet.ServletException;
import javax.servlet.annotation.WebServlet;
import javax.servlet.http.HttpServlet;
import javax.servlet.http.HttpServletRequest;
import javax.servlet.http.HttpServletResponse;

import sun.misc.BASE64Decoder;

/**
 * Servlet implementation class TestKlasa
 */
@WebServlet("/TestKlasa")
public class TestKlasa extends HttpServlet {
	private static final long serialVersionUID = 1L;
	private String haslo;
	private String user;
	private Properties prop;
	private String plikHasla;
       
    /**
     * @see HttpServlet#HttpServlet()
     */
    public TestKlasa() {
        super();
        // TODO Auto-generated constructor stub
        
    }
    
    public void init(ServletConfig config) throws ServletException{
    	super.init(config);
    	
    	plikHasla = config.getInitParameter("plikHasla");
    	prop = new Properties();
    	haslo = config.getInitParameter("haslo");
    	user = config.getInitParameter("user");
    	
    	try {
    		
			prop.load(new FileInputStream(plikHasla));

		} catch (FileNotFoundException e) {
			// TODO Auto-generated catch block
			e.printStackTrace();
		} catch (IOException e) {
			// TODO Auto-generated catch block
			e.printStackTrace();
		}
    	
    	
    	
    }

	/**
	 * @see HttpServlet#doGet(HttpServletRequest request, HttpServletResponse response)
	 */
	protected void doGet(HttpServletRequest request, HttpServletResponse response) throws ServletException, IOException {
		// TODO Auto-generated method stub
		
		response.setContentType("text/html; charset=ISO-8859-2");
		PrintWriter pw = response.getWriter();
		String autoryzacja = request.getHeader("Authorization");
		
		if(autoryzacja == null){
			
			this.ramkaHasla(response);

		}
		else{
			
			String dekoduj = autoryzacja.substring(6).trim();
			BASE64Decoder decoder = new BASE64Decoder();
			String userInfo = new String(decoder.decodeBuffer(dekoduj));
			
			int pozycja = userInfo.indexOf(":");
			String wpisanyUser = userInfo.substring(0, pozycja);
			String wpisaneHaslo = userInfo.substring(pozycja + 1);
			
			if(wpisanyUser.equals(user) && wpisaneHaslo.equals(haslo)){
				pw.print("<html><body bgcolor=orange>");
				pw.print("<table><tr><td>");
				pw.print("<p>Witaj na zahasłowanej stronie.<br>");
				pw.print("Hasło: " + haslo + "<br>");
				pw.print("Użytkownik: " + user + "</p>");
				pw.print("</td><td>");
				pw.print("<img src = '[ciach]' width = 400>");
				pw.print("</td></tr></table>");
				
				pw.print("</body></html>");
			}
			else {
					
				this.ramkaHasla(response);
			}
			
			
			
		}
		
	}

	/**
	 * @see HttpServlet#doPost(HttpServletRequest request, HttpServletResponse response)
	 */
	protected void doPost(HttpServletRequest request, HttpServletResponse response) throws ServletException, IOException {
		// TODO Auto-generated method stub
		this.doGet(request, response);
	}
	
	private void ramkaHasla(HttpServletResponse response){
		response.setStatus(response.SC_UNAUTHORIZED); // Ie 401
		response.setHeader("WWW-Authenticate", "BASIC realm= Miłego ogladania.");
	}

}

i jego XML:

 <?xml version="1.0" encoding="UTF-8"?>
<web-app xmlns:xsi="http://www.w3.org/2001/XMLSchema-instance" xmlns="http://java.sun.com/xml/ns/javaee" xsi:schemaLocation="http://java.sun.com/xml/ns/javaee http://java.sun.com/xml/ns/javaee/web-app_3_0.xsd" id="WebApp_ID" version="3.0">
<servlet>
    <servlet-name>TestKlasa</servlet-name>
    <servlet-class>pak1.TestKlasa</servlet-class>
    <init-param>
    <param-name>haslo</param-name>
    <param-value>haslo</param-value>
  </init-param>
  <init-param>
  <param-name>user</param-name>
  <param-value>user</param-value>
  </init-param>
  <init-param>
  <param-name>plikHasla</param-name>
  <param-value></param-value>
  </init-param>
  </servlet>
  <servlet-mapping>
    <servlet-name>TestKlasa</servlet-name>
    <url-pattern>/</url-pattern>
  </servlet-mapping>
  <display-name>Test</display-name>
  <welcome-file-list>
    <welcome-file>index.html</welcome-file>
    <welcome-file>index.htm</welcome-file>
    <welcome-file>index.jsp</welcome-file>
    <welcome-file>default.html</welcome-file>
    <welcome-file>default.htm</welcome-file>
    <welcome-file>default.jsp</welcome-file>
  </welcome-file-list>
</web-app>

Mam 2 pytania. Może podpowiecie.
Czy obrazek zawarty na zahasłowanej stronie można jakoś zabrać na serwer razem z .war-em? Czy trzeba, tak jak zrobiłem, podawać adres w img? czy może jest specjalny folder w Tomcacie na obrazki?
I drugie:
chodź kod działa również na zewnętrznym serwerze, to nie do końca wiem, gdzie są zapisywane na serwerze klucze i ich wartości z klasy Properties ... Służy ta klasa do przechowywania hasła i nazwy użytkownika.
Pozdrawiam.