Decidimos utilizar nuestro propio proxy para lograr la autenticación. Los detalles de la primera versión del proxy se pueden ver aquí
Esencialmente usamos un login estándar usando Ajax contra nuestra base de datos de clientes sobre https. Devolvemos un Guid, que se almacena en una tabla en el servidor, al JavaScript y modificamos el código proxy dado anteriormente para validar de nuevo contra la base de datos antes de pasar la solicitud a GeoServer. Cuando se agota la sesión, o el usuario cierra la sesión, el guid se elimina de la tabla del servidor.
Cualquier solicitud con un guidid inválido es descartada. No puedo darte el código porque es parte integral de nuestro sistema de seguridad, pero deberías poder hacerte una idea general.
Puede utilizar esta función para registrar diferentes eventos, proporcionar una solicitud pública para un número x de eventos, etc.
Saludos
Mark