关于spring security 的自定义登陆逻辑及适用性。

Question

最近在看spring security，关于其对url资源的保护，个疑问：其中的http/form-login适用性如何？
  ss中自己实现了一个登陆页面，和登录逻辑，但是这个登录页面显然不适合实际开发，用户体验也不好，另外登录逻辑中，或许我们想加入一些自己系统的需求实现，比如验证码，比如登录次数累计。在看了源代码以及一些例子之后，发现可以通过继承AuthenticationProcessingFilter来自定义自己的登陆逻辑，而处理登陆时的校验信息反馈，可以通过自定义异常，继承AthenticationException，然后跑出再在页面中取得，经过处理显示，达到较好的用户体验。传统的登陆实现显然不需要这么麻烦，用户体验在现有的框架（比如struts2）更是容易做得很好。不知哪位熟悉ss的人，可以发表下体会，说说其适用性。
抛砖引玉，也可以谈谈其他一些功能，比如方法保护（我曾使用aop+系统本身的权限框架实现）等的优缺点。
今天是中秋，也是本人的生日。
在这里祝各位仍在csdn上混的朋友中秋快乐,工作顺利！

Answer 1

你们是做门户网站的吧 就登录看似简单 其实要做的完善也会很复杂
spring security 没用过 帮你顶了
生日快乐···

Answer 2

顶个，事实证明放假的时候上csdn的人也不多。

Answer 3

如果跟struts2结合，可以将登陆逻辑放到action中完成。为了通过认证，需要构造一个实现Athentication的对象，放入SecurityContext中，再将SecruityContext放入session中（每次请求完毕都会清理SecurityContext)。不知道这样跟交给ss实现的登陆逻辑来进行登陆操作有何不同，相比之下有何缺陷。ss自己实现的AuthenticationProccessingFilter，存放了几个以SPRING_SECURITY_SAVED_REQUEST_KEY等为key的对象有什么不知道的作用。