OAUTH2 - заменить ресурсный сервер HttpSecurity на Preauthorize

Question

У меня есть весенний сервер auth2, и он работает для вошедших в систему пользователей (токен на предъявителя в запросе). Я хочу разрешить анонимным пользователям (пользователям, которые не вошли в систему, поэтому не имеют токенов на предъявителя) просматривать определенные данные.

На моем сервере ресурсов у меня есть эта конфигурация

@Override
public void configure(HttpSecurity http) throws Exception {
  http
    .anonymous()
      .and()
    .authorizeRequests()
      .antMatchers("/api/**").authenticated()
      .and()
    .exceptionHandling()
      .accessDeniedHandler(new OAuth2AccessDeniedHandler());
}

Как видите, у меня в начале есть http.anonymous (). И (), но когда я вызываю конечную точку отдыха без маркера носителя, я получаю несанкционированное исключение. Кто-нибудь может мне это объяснить ??