если не правильный login и пароль, то у тебя будет 401 код ошибки, вот он и будет говорить что данные введены не верно
если нужны сообщения что не правильно веден email, т.е. его или нет, или он не соответствует формату, то для этого нужно использовать Validator (или RequestForm), которые выбросит исключение с советующими сообщениями
Можно и attempt закинуть в RequestForm, но правильно ли это?