B
Ja, das kannst Du machen. Aber Du musst das Konzept dann selbst entwickeln, denn JSP bringt da noch nichts frei Haus mit. Es gibt aber auch die Möglichkeit, diese Sache vom Container managen zu lassen. Da kommts dann drauf an, welchen JSP-Container (also Server) ihr einsetzt. Beim Apache Tomcat gibts z.b. Tomcat Realm Authentification. Dabei kümmert sich dann der Container darum, dass der Benutzer sich bei Bedarf authentifiziert. Du musst dann nur noch die Userverwaltung implementieren, also das anlegen von Benutzern etc.
Edit: Andere Frameworks wie JSF setzen übrigens auf JSP/Servlets auf. Unter der Haube sind das also auch bloß JSPs, allerdings bringen diese Frameworks häufig haufenweise Konzepte und Standardfunktionalität mit, die eine übliche Webanwendung ausmachen, so dass man nicht alles selbst implementieren muss.