tokenExtractor

protected String extractToken(HttpServletRequest request) {
   // first check the header...
   String token = extractHeaderToken(request);

   // bearer type allows a request parameter as well
   if (token == null) {
      logger.debug("Token not found in headers. Trying request parameters.");
      token = request.getParameter(OAuth2AccessToken.ACCESS_TOKEN);
      if (token == null) {
         logger.debug("Token not found in request parameters.  Not an OAuth2 request.");
      }
      else {
         request.setAttribute(OAuth2AuthenticationDetails.ACCESS_TOKEN_TYPE, OAuth2AccessToken.BEARER_TYPE);
      }
   }

   return token;
}

OAuth2AuthenticationProcessingFilter过滤器会拦截请求，在请求中获取token，token的传输可以有三种方式：
1.在Header中携带 
Header： 
Authentication：Bearer f732723d-af7f-41bb-bd06-2636ab2be135
2. 拼接在url中作为requestParam 
http://localhost:8080/order/1?access_token=f732723d-af7f-41bb-bd06-2636ab2be135

3 在form表单中携带 
http://localhost:8080/order/1 
form param： 
access_token=f732723d-af7f-41bb-bd06-2636ab2be135

如果以上三种方式都无法获取到token，则不在校验token，而继续进行后面的过滤连chain.
所以：在项目中只要传了token， 就首先会走该过滤器进行token校验，不管是否项目要求传token。