Использование модели безопасности, контролируемой web.xml, является основным способом управления авторизацией. Я думаю, что вы рискуете заново изобрести колесо здесь. Стандартные средства действительно довольно мощные, я согласен, что есть кривая обучения, но такие ресурсы, как эти помогают.
Для динамических ресурсов вы можете свободно реализовать собственную модель авторизации, а для комплексной авторизации - вот что делают люди, эта статья может помочь.