Как Spring Security встраивается в обработку запроса?

Каждый фильтр отвечает за свою задачу — разбор данных аутентификации, проверка CSRF, установка контекста безопасности, проверка прав на запрос — и решает, пропускать ли запрос дальше по цепочке. Из этого следуют два практических вывода. Порядок фильтров и порядок правил авторизации значим: применяется первое подошедшее правило. И защита работает независимо от контроллеров, поэтому не может быть обойдена забытой аннотацией; аннотации на методах — дополнительный уровень поверх, а не единственный.