403 Forbiden

Nos HEADERS, lá no postman, você está enviando o Bearer TOKEN?

Boa noite, mas eu não deveria passar o token pois a requisição está liberada

Oi!

O problema está no seu método recuperarToken da classe SecurityFilter.

Nele você está lançando exception se o cabeçalho do token não for enviado, mas isso não deve ser feito, pois vai tornar o envio do token sempre obrigatório. O envio do token na requisicição de login não deve ser feito e então vai entrar nesse if.

código correto:

private String recuperarToken(HttpServletRequest request) {
    var authorizationHeader = request.getHeader("Authorization");
    if (authorizationHeader != null) {
        return authorizationHeader.replace("Bearer ", "");
    }

    return null;
}