JAAS - это офигенно мощная и простая в использовании штука для авторизации и аутентификации пользователей.

Если вы поищете в Гугле, то, скорее всего, увидите эту ссылку. Так вот, так делать не надо. Почему? А потому, что ActionListener вызывается только при переходе с одной JSF-страницы на другую, но не тогда, когда JSF-страница вызывается напрямую.

Не привязан конкретно к JSF, может использоваться с любой аналогичной технологией.

Затруднено взаимодействие с JSF, только если через ExternalContext.