javax.jws tomcat java 1.5 netbeans

Какой сейчас самый удобный\лучший способ обезопасить вебсервис, желательно:
Можно было бы "войти" (вебметодом или как нибудь еще) с помощью имени и пароля, после чего становятся доступны вебметоды и в течении сессии доступна информация об авторизированном пользователе. Имя и пароль скорее всего надо будет тянуть из базы.
Вопрос такой - куда вообще рыть, есть ли какие нибудь примеры и т.д.

И еще совсем ламерский вопрос - как в tomcat для веб сервиса правильно хранить данные в application и session scope и есть ли какая нибудь гарантия, что эти данные будут допутим именно в в application scope.