Acho que tu tem que definir o produto no objeto imagem, mesmo que não salve a imagem, apenas defina na imagem e salve o produto e deixar que o hibernate salve os dois. Porque pelo jeito, deve estar salvando os dois objetos sem fazer a relação entre eles. Relacionamentos bidirecionais são assim, tem que informar aos dois a quem estão ligados. Exige mais cuidado.
O método está correto, somente isso deveria ser o suficente para desconectar o usuário, caso vc não esteja usando algum recurso de "Lembrar-me". Acho que o problema não está ai.
na view você tem o atributo $SPRING_SECURITY_LAST_EXCEPTION.message com a mensagem da útilma exceção, eu consegui usar ela para usuário inválido e usuário desativado, deve ter outras opções e configurando o failureHandler no SecurityConfiguration, acho que da pra criar suas exceções