Debe utilizar la seguridad JAAS proporcionada por los contenedores Servlet como Tomcat, Websphere, Glassfish.
Por defecto estos contenedores es compatible con estos tipos de autenticación:
- BÁSICO
- COMPENDIO
- FORMA
- CLIENTE-CERT
autenticación básica HTTP
La especificación de autenticación básica HTTP requiere que el servidor solicite un nombre de usuario y contraseña del cliente web y verifique que el nombre de usuario y la contraseña sean válidos comparándolos con una base de datos de usuarios autorizados en el dominio especificado o predeterminado.
La autenticación básica es la predeterminada cuando no se especifica un mecanismo de autenticación.
Cuando se utiliza la autenticación básica, las siguientes acciones:
- Un cliente solicita acceso a un recurso protegido.
- El servidor web devuelve un cuadro de diálogo que solicita el nombre de usuario y la contraseña.
- El cliente envía el nombre de usuario y la contraseña al servidor. 4. \ El servidor autentica al usuario en el dominio especificado y, si tiene éxito, devuelve el recurso solicitado.
La figura siguiente muestra lo que ocurre cuando se especifica la autenticación básica de HTTP. 
de autenticación básica HTTP Diagrama de cuatro pasos en la autenticación básica HTTP entre el cliente y el servidor
Formulario de autenticación basada en
la autenticación basada en formularios permite al desarrollador controlar el aspecto y el tacto de la inicie sesión en las pantallas de autenticación personalizando la pantalla de inicio de sesión y las páginas de error que un navegador HTTP presenta al usuario final. Cuando se declara la autenticación basada en el formulario, se producen las siguientes acciones.
- Un cliente solicita acceso a un recurso protegido.
- Si el cliente no está autenticado, el servidor redirige el cliente a una página de inicio de sesión.
- El cliente envía el formulario de inicio de sesión al servidor.
- El servidor intenta autenticar al usuario.
- Si la autenticación tiene éxito, se verifica el principal autenticado del usuario para asegurarse de que tiene un rol autorizado para acceder al recurso. Si el usuario está autorizado, el servidor redirecciona al cliente al recurso utilizando la ruta de URL almacenada.
- Si la autenticación falla, el cliente se reenvía o se redirige a una página de error.
La siguiente figura muestra lo que sucede cuando se especifica la autenticación basada en el formulario.
Cuando se crea un inicio de sesión basado en formularios, asegúrese de mantener sesiones utilizando cookies o la información de sesión SSL.
Para que la autenticación proceda adecuadamente, la acción del formulario de inicio de sesión siempre debe ser j_security_check. Esta restricción se realiza para que el formulario de inicio de sesión funcione sin importar a qué recurso pertenezca y para evitar que el servidor especifique el campo de acción del formulario de salida. El siguiente fragmento de código muestra cómo la forma debe ser codificada en la página HTML:
<form method="POST" action="j_security_check">
<input type="text" name="j_username">
<input type="password" name="j_password">
</form>
autenticación implícita
Al igual que la autenticación básica, autenticación Digest autentica un usuario basado en un nombre de usuario y una contraseña. Sin embargo, a diferencia de la autenticación básica, la autenticación resumida no envía contraseñas de usuario a través de la red. En cambio, el cliente envía un hash criptográfico unidireccional de la contraseña y datos adicionales. Aunque las contraseñas no se envían por cable, la autenticación resumida requiere que los equivalentes de contraseña de texto claro estén disponibles para el contenedor de autenticación para que pueda validar los autenticadores recibidos calculando el resumen esperado.
Referencias: