关于J2EE安全请高手指教

使用J2EE安全架构，我如果想得到用户的密码该怎么取得，因为通过request.getUserPrincipal()得到是principal接口引用，不能通过

principal接口来得到和修改用户的密码，我是不是应该把得到的对象转型为特定的对象才行，如果可以那么这个对象应该是什么对象，是不是

随J2EE服务器的不同而不同。还有就是“J2EE规范中并没有限定J2EE 产品提供商使用怎样的认证方法，因此主体名和验证数据的内容和格式依

不同的认证协议而不同。”这句话是什么意思，请高手指教。