Давно мучает вопрос о том как правильно сделать авторизацию на JSF или Struts сайте.

Я различаю 2 вида авторизации:
1. Http авторизация.
2. Form-based авторизация.

После некоторых умозаключений получил небольшой список необходимых возможностей:
1. свободный выбор метода, проводящего непосредственную авторизацию (RADIUS, LDAP, etc)
2. автоматический переход к авторизации при попытке доступа к любому защищенному ресурсу с последующим переходом к этому ресурсу в случае успешной авторизации.

Буду рад, если список требований будет дополнен или аргументированно изменен.

А чем не устраивает имеющийся в контейнере JAAS ? вроде все заявленное присутствует.

3. автоматический переход после успешной аутентификации, но проваленой авторизацией, к некому ресурсу с меньшими привелегиями, нежели запрашиваемый
Добавлено @ 12:37

3. че нить типа Native, например через NTLM, чем не метод, пользователь подключается к корпоративному домену, и после этого он счиатается прошедьшим аутентификацию

Вообще ты путаешь понятия авторизации и аутентификации. Все что тебе нужно реализовано практически во всех котейнерах. Обычно это JAAS(как уже было сказано). Все средства аутентификации - проверка пароля и юзера, а также авторизации - проверка на права доступа аутентифицированного юзера к ресурсам. А если тебя интересует реализация интерфейса для аутентификации, то можешь глянуть это пример для JSF , пример для struts . Все остальное прописывается согласно спекам в xml-ках твоего приложения. Здесь не сложно найти все в гугле. Если нужно ,могу кинуть пару примерчиков.

Если вас не затруднит, то не могли бы вы дать ссылки на примеры авторизации в Struts.

В моем приложении авторизация требуется только для админки. Т. е. на всем сайте пользователи спокойно ходят, а вот если захотят зайти в http://www.domain.com/admin, то у него затребуют пройти аутентификацию.
Собственно говоря есть такие идеи:
1) Все JSP-страницы в каталоге admin построить по следующей структуре:

В Action'е login спрашивать имя и пароль, проверять их и, если свой человек, то добавлять в сессию аттрибут user.
Тогда встают вопросы:

• где же хранить имена, пароли и роли пользователей? В БД или в каком нибудь конфиге?
• Пароли ведь как-то нужно шифровать или хранять прямо в обычном виде?
• Нужно ли еще для надежности в админских Action'ах проверять пользователя?

2) Прочитал, что самый хороший способ -- это "The best practice is to extend the RequestProcessor class and perform authentication in methods such as processActionPerform() or processRoles().", только так и не понял как это реализовать.

3) Может быть какой-нибудь фильтр написать, чтобы он не пускал кого попало в админку?

Может быть есть решения получше вышеописанных?