oson...
Пытался разобраться с Spring Security...
Странно, мне всегда нравилась документация у Спринга, а потому решил погуглить (у самого до Spring Security руки не доходят пока :(). Нашел туториал и сэмплы .
osonБолее запутанным сделать наверное было бы трудно. Ничего толком не заработало, хотя вся система работает на Spring.Это поначалу, мне JEEшный JSR-196 тоже мозг выносил поначалу :) Незнание JAAS тоже вносило свою лепту.

osonНу если сделать форму по умолчанию, то наверное просто. А если серверная часть принимает запросы по REST например от разных типов клиентов, то чем поможет Spring Security в плане допуска к определенным сервис методам?Если у Вас несложное приложение, то не парьтесь, а сделайте свою security: форма входа, фильтр и т.д. И, кстати, REST - это обычный HTTP-запрос, ничем не отличается от всех прочих запросов.авторВсе равно должен передаваться какой то authorization tokien, который содержит например login+password, и если такие есть в бд, то создается сессия и объект в ней, который будет определять этого клиента. Пришел следующий запрос от того же клиента - ищем в сессии объект по authorization tokien и определяем, что это тот же клиент. Примерно так. Как тут может помочь Spring Security?Spring Security, впрочем как и другие подобные фреймворки, помогает когда есть сложное разграничения прав доступа, множество способов аутентификации. В простых случаях проще сделать свою системку. Но главное не перемешивать логику юезопасности с бизнес-логикой. И будет Вам счастье )

osonкстати - а где хранить этот объект?В сервлетах есть стандартизированный механизм поддержания пользовательской сессии, основанный на куках (JSESSIONID). Читайте спеку по сервлетам.
В принципе, в Spring можно создать бин со scope=session и туда складывать данные о залогиненном пользователе. Но спеку лучше почитать...

oson Где эта сессия обитает и как ее искать?Объект HttpSession можно получить через HttpServletRequest .getSession(). В REST-клиентах достучаться к сессии можно заинжектив (увы, не знаю как перевести) с аннотацией @Context .

Почитайте про сервлеты. Как бы без знания спецификации сервлетов вообще не рекомендуется приступать к веб-программированию.

Petro123oson,
не так:
- в сервлете есть


при вызове там уже всё есть - инфа о куках с клиента.
ВИ:
- вызов ослика андроида http сервлета.
- если ты в куку записал Петя=1234 то она тебе автоматом придёт с кукой в классе сессия.
- и ты узнал Петю.
Остальное offtopА зачем писАть какую-ту левую куку, если контейнер сервлетов отлично сам запишет JSESSIONID при открытии сессии? Тогда останется просто проверить наличие атрибута в сессии, проставленного при логине (проверке "токиена авторизации" :)).