这是因为Spring
Security通过代理安全类来工作。这意味着它为您现有的类提供了包装。如果使用基于接口的代理，则可以是java.lang.Proxy，也可以是cglib增强的子类。不过，我不想在这里过多讨论。
但最重要的是，当外部调用者调用您的方法之一时，会发生以下情况：
调用者->代理->安全拦截器->实现类
是安全拦截器来检查注释并确定要应用的安全性。但是，一旦进入实际的实现类，就可以在不涉及代理和安全拦截器的情况下调用方法，因此无需进行安全检查。
因此，您需要使用适用于它的@Secured注释以及内部调用的任何内容来保护每个入口点。
