Поможите с аутентификацией в томкате

На самом деле сабж несколько некорректен. Задача такая. имеется сайтик работающий на jsp и oracle. вебсервак - томкат. на сайте есть закрытые разделы только для зарегистрировавшихся. в базе это выглядит так. 1я табличка - списки регистрации id,title,....
2я табличка - собственно пользователи id,login,pass,reg_id (ключ к спискам),..... Пользователь в форму пишет свой логинпароль, он сверяется с данными в базе и если всё ок, то в атрибуты сессии прописывается идшник пользователя и идшник списка в котором он зарегистрирован. Далее при попадании на секретную страницу смотрим на наличие этих атрибутов и сравниваем с данными о том какие списки пользователей эту страницу могут смотреть. здесь всё чисто. но есть проблема. скажем мне нужно чтобы пользователь мог скачать какой-то файл (секретный опять же). Паролить каталог с секретными файлами? тогда пользователя 2й раз просить ввести пароль? некрасиво. (+ к этому в томкате есть неудачный момент: структура бд при ждбцшной аутентификации должна быть достаточно неудобной для меня и это жёстко) Думаю, что меня могло бы спасти что-то вроде такого момента: паролить каталог, а при вводе данных в мою форму, каким-то чудесным образом проводить аутентификацию и через томката. Какие есть мысли в помощь?

А мысля очень простая напиши идентификационный бин дай ему scope=session и пусть он хранит в себе данные.Типа если юзер залогинился то идентификация =yes если нет тогда сам понимаешь.И при обращении к необходимой странице просто запрашивай бин о состоянии юзера. По-моему так

Всё так и есть. Почти так. Без бина правда а стандартными средствами типа session.putValue. Эта часть меня не особо заботит. Проблема именно в даунлоаде файлов. В другом форуме мне предложили сделать свой даунлоадер. Это вариант, но может быть есть еще что-нибудь поизящнее?