有没有更优雅的方式使用spring security

Question

我在使用spring security的时候遇到了两个问题:

1. 如果登录认证回调需要输出json时， 只能通过response.getWriter().write()的方式输出。
2. 如果在登录认证回调中编写业务代码，因为所有处理都在Filter中完成， 所以业务异常无法通过控制器增强器(@RestControllerAdvice)捕获异常, 异常处理需要额外编码。

经过查找资料没有发现有用的信息，请问大家还有没有其他的实现办法？