まずおまえ「正常系」「異常系」でしか見てないだろ。業務アプリ設計ってのは
「想定内の正常系」「想定内の異常系」「想定外の異常系」の三つで考えるもんだよ。
想定内の異常系がおまえの頭の中では異常系に入ってるから「業務上起こりうる状態で
例外投げるのはNG」「でも認証失敗は前提が破られたからおｋ」と妙な話しが始まるわけ。

このへんの論議は前世紀の終わりに散々ここで出尽くしてるよ。