java – 无法让@Secured在Spring MVC中工作

我正在使用Spring MVC来公开RESTful服务.我已经通过HTTPBasicAuthentication启用了身份验证,并使用< security：http>我可以控制哪些角色可以访问网址.

现在我想使用@Secured注释.我试图将它添加到Controller方法但它不起作用.它什么都不做.

这是我的Controller类：

@Controller
@RequestMapping("/*")
public class HomeController {
private static final Logger logger = LoggerFactory.getLogger(HomeController.class);

private static final String USERS = "/users";
private static final String USER = USERS+"/{userId:.*}";

    @RequestMapping(value=USER,method=RequestMethod.GET)
    @Secured(value = {"ROLE_ADMIN"})
    public @ResponseBody User signin(@PathVariable String userId) {
        logger.info("GET users/"+userId+" received");
        User user= service.getUser(userId);
        if(user==null)
                throw new ResourceNotFoundException();
        return user;
    }
}

这是我的security-context.xml：

我的root-context.xml：


一切正常,但如果我添加@Secured,它什么都不做：我也可以使用user@somedomain.com访问安全方法,该方法没有ROLE_ADMIN权限.
我已经尝试过移动< security：global-method-security>到root-context.xml,它不起作用.我还尝试通过< security：http>保护相同的方法.标签,它工作正常,但我想使用@Secured注释.
谢谢.
编辑：
我还在appServlet子目录中有一个servlet-context.xml和一个controllers.xml配置文件.
这是servlet-context.xml：
????


和controllers.xml：