Лень заливать в репу вот ссылка
https://dl.dropboxusercontent.com/u/53222029/sprin...
Я работал со спринг, но не являюсь профи в нем (как уже говорил). В доках thymeleaf есть пример
www.thymeleaf.org/doc/html/Thymeleaf-Spring3.html#... . Как я понял установки одного лишь order не достаточно, хотя в моем сознаниии почему то тоже было что логика будет следующая: резолверы отсортируются по order, затем берем первый результат без исключения.
В этом же случае вся магия свелись к фильтрации viewNames, все что от вас потребуется
то к тому что внедряете дописывать разрешения, а в контроллерах писать с разрешением, думаю что этого более чем достаточно.
И да, этот параметр viewNames можно использовать как душе угодно, можно фильтровать по папке, по разрешению, писать массив имет etc