springsecurity推荐

http://blog.csdn.net/column/details/springsecurity.html    --王成委

http://www.iteye.com/blogs/subjects/spingsecurity3inside  --dead_knight

http://www.iteye.com/blogs/subjects/spring_security  --haohaoxuexi

http://blog.csdn.net/shadowsick/article/category/1342575 

--shiro和springsecurity，springsecurity的自定义标签,扩展验证码,项目。shiro从数据库中读取角色权限,页面按钮，验证码,上传文件，防止攻击，整合cas。

小知识点：

http://blog.csdn.net/honghailiang888/article/details/52679264
规则1. 如果异常是 AuthenticationException，使用 AuthenticationEntryPoint 处理  
规则2. 如果异常是 AccessDeniedException 且用户是匿名用户，使用 AuthenticationEntryPoint 处理  

规则3. 如果异常是 AccessDeniedException 且用户不是匿名用户，如果否则交给 AccessDeniedHandler 处理。 

(虽然匿名用户无论在配置授权时，还是在获取权限信息时，都与已登录用户的操作一模一样，但它应该与未登录用户是等价，当我们以匿名用户的身份进入“/”后，点击admin.jsp链接，系统会像处理未登录用户时一样，跳转到登录用户，而不是像处理以登录用户时显示拒绝访问页面。点击打开链接)

http://blog.csdn.net/honghailiang888/article/details/53541664
用户登录成功后，页面重定向到origin url。