R>Тут бестолку что-то дебажить — это "декларативная" конфигурация, которая отрабатывает 1 раз при старте приложения. Такой "стиль" написания конфигураций предлагается самим фреймворком. Если с этой конфигурацией что-то не то, дебагом самой конфигурации это не поймаешь. Чтобы дебагом разобраться почему у ТС оно не работает как он хочет — это вообще не тут дебажить нужно. В представленном коде интересно убедиться, что resourceServerFilterChain() вообще был вызван (ну — мало ли), и дальше — проверить вызывается лямбда (authentication, object) или нет.
