В Spring Security стандартная авторизация обычно реализуется через конфигурацию HttpSecurity в классе, помеченном @EnableWebSecurity. Основной поток:

Пользователь вводит логин и пароль.
Spring Security перехватывает запрос и передает данные аутентификации в AuthenticationManager.
AuthenticationManager использует UserDetailsService для загрузки пользователя из базы или другого источника.
Если данные верны, создается объект Authentication с правами пользователя.
После успешной аутентификации пользователь получает доступ к защищенным ресурсам согласно настройкам.

Пример конфигурации:

@Configuration
@EnableWebSecurity
public class SecurityConfig extends WebSecurityConfigurerAdapter {
    @Override
    protected void configure(HttpSecurity http) throws Exception {
        http
            .authorizeRequests()
                .anyRequest().authenticated()
                .and()
            .formLogin()
                .loginPage("/login")
                .permitAll();
    }

    @Override
    protected void configure(AuthenticationManagerBuilder auth) throws Exception {
        auth.inMemoryAuthentication()
            .withUser("user")
            .password(passwordEncoder().encode("password"))
            .roles("USER");
    }

    @Bean
    public PasswordEncoder passwordEncoder() {
        return new BCryptPasswordEncoder();
    }
}

Таким образом, Spring Security обеспечивает стандартный процесс авторизации через фильтры, менеджеры аутентификации и конфигурацию доступа.

Каким образом осуществляется стандартная авторизация в рамках Spring Security?