刚刚看完源码，来说两句

浏览完全文，我的感觉是楼主理解的 Spring Security 只是在登陆方面。其实这个框架做了很多适应于传统 mvc 的业务场景。比如：单纯权限不够的处理(可扩展，默认返回 403 ），因为没有登陆导致的权限不够的处理（默认跳登陆页面），登陆成功的处理（跳到哪个 url ），登陆失败的处理，登陆成功重定向回触发页面的处理，用户数据来源，登陆行为后的 session 的处理，remeberme 服务，然后是本文讲的这些登陆 filter 。最后是一些安全相关 filter 。 主要是 AbstractAuthenticationProcessingFilter#doFilter(),加上 ExceptionTranslation, AuthorizeFilter.

所以如果你写的系统不需要这些处理，失败了直接返回 400 就完事了，也没有换 sessioin id 防攻击的需求。直接使用他的验证部分 AuthenticateManager 以及配套的类。这样直接写 controller ，注入进来就完事了。session 部分和后续的逻辑你自己用 response 控制

如果你要他的这些功能，那就写一个 filter 继承 abstractprocessing 的流程模版类，添加进去，然后对扩展点进行扩展。

spring security 的框架大而全，这样的东西必须把每一部分都抽象成可替换的，对普通业务其实是没有必要的。

@tamshy 能不能分享一下夸克会员的渠道？