Spring Security Dúvida.

Olá pessoal, quero negar acesso específico a uma página para uma role, como fazer isso ?

            .antMatchers("/",
                    "/error/**").permitAll()
            .antMatchers(
                    "/**/delete/**",
                    "/**/rebuild/**",
                    "/**/edit/**",
                    "/**/add/**").access("hasRole('ADMIN') || hasRole('HERO')")
            .antMatchers(
                    "/user/add/",
                    "/user/role/**",
                    "/user/active/**",
                    "/configuration/**").access("hasRole('HERO')")

a página /user/add/ quero apenas para role HERO, mas como ADMIN estou conseguindo acessar.

Como fazer isso ?

O ADMIN tem que continuar acessando todos os /add/ menos o /user/add/

Muuito obrigado.