osonЗначит SpringSecurity - это не только проверка данных при авторизации и прав на какой-то ресурс, но и сохранение данных в сессии между запросами? То есть то, что в JSF реализуется при помощи session scope для managedBean. Я долго работал с JSF и поэтому пытаюсь в Spring в Spring использовать такой подход с session scope. Видимо это неправильно.
Всё тоже самое. managedBean\backingBean не является контроллером. Он реализует логику и хранит состояние. Контроллер, по задумке, логику реализовывать не должен. Поэтому он singleton.

osonУважаемый Blazkowicz, напишите один раз развернуто, не обрывками фраз :)
Попробуйте сконцентрироваться и задать конкретные вопросы. Трудно отвечать на сообщения вида "мне так кажется".

osonpage -> controller -> service -> dao -> database.
Controller состояние не сохраняет, это singleton (ну или prototype, максимум - request scope).
Service - тоже singleton? Service просто предоставляет возможности каких-то вычислений для поданных данных, открывает транзакции, делает запросы через dao в database.
В dao - тоже не место для логики.
Какой делать уровень для бизнес логики, для самого движка?

Service aka Transaction Script является частью Domain Model и реализует бизнес-логику.
"движком", обычно называют фреймверк или API. Поэтому термин "бизнес логика движка" мне не понятна. У "движка" обычно своя достаточно уникальная логика, которая не относится ни к какой конкретной предметной области.

osonА как это делать - объясните ж пожалуйста, а то какие то загадочные фразы.
Вы в правильном направлении. Не храните всё подряд в session scope, а только то что там действительно нужно. Нет смысла писать свою security и использовать HttpSession, когда Spring Security уже реализует такой же механизм, а session scope позволяет привязывать данные к сессии.