Não vi nenhum tópico parecido, então galera o que vocês costumam fazer quando estão desenvolvendo algum tipo de sistema que precisa de autenticação e autorização.
Vocês utilizam o JAAS ou criam seus próprios filtros e validações?
Veja aqui: http://www.guj.com.br/java/38988-tutorial-de-jaas . Tem uma discussão grande sobre o assunto.