Sistema não barra Role | Spring MVC II: Integração, cache, segurança e templates

Estou com duas ROLES(ADMIN e USER) e um usuário para cada ROLE. Coloquei o endpoint POST /virtual-shop/products apenas para a ROLE ADMIN, porém quando faço a request via postman. o sistema permite que usuários que não tenham a ROLE também criem produtos.

Estou usando Basic e implementei o UserDatailsService

  /**
   * Authorization configure
   *
   * @param http
   * @throws Exception
   */
  @Override
  protected void configure(HttpSecurity http) throws Exception {
    http.csrf().disable().authorizeRequests()
        .antMatchers(HttpMethod.POST, "/virtual-shop/products").hasRole("ADMIN")
        .antMatchers(HttpMethod.DELETE, "/virtual-shop/products").hasRole("ADMIN")
        .antMatchers("/virtual-shop/**").authenticated()
        .antMatchers(HttpMethod.POST, "/virtual-shop/users").permitAll()
        .antMatchers(HttpMethod.GET, "/virtual-shop/products").permitAll()
        .antMatchers(HttpMethod.GET, "/virtual-shop/products/*").permitAll()
        .anyRequest().authenticated()
        .and().httpBasic();
  }

http.csrf().disable().authorizeRequests() .antMatchers(HttpMethod.POST, "/products").hasRole("ADMIN") .antMatchers(HttpMethod.DELETE, "/products/*").hasRole("ADMIN") .antMatchers(HttpMethod.POST, "/users").permitAll() .antMatchers(HttpMethod.GET, "/products").permitAll() .antMatchers(HttpMethod.GET, "/products/*").permitAll() .anyRequest().authenticated() .and().httpBasic();