Александр Косарев

Судя по ошибке, у тебя проблема заключается в использовании зависимостей, несовместимых друг с другом. Указанный метод появился в Spring Core версии 4.2.

Spring Framework - собственно, фреймворк, на котором основана вся экосистема Spring.IO (Framework, Data, Security и прочие проекты). Он может использоваться как самостоятельно, так и в связке с другими проектами.

Spring Boot предоставляет готовые конфигурации компонентов, минимизируя время, затрачиваемое на конфигурирование.

Плюс Spring Boot при помощи Maven-плагина позволяет собирать приложения в виде "толстых JAR", в которые собираются все зависимости. Так же есть возможность JAR делать исполняемым.

Описанное тобой поведение и есть правильное. 403 ошибка будет выдаваться, если профиль пользователя попробует просмотреть пользователь, у которого нет ни роли USER, ни роли ADMIN.

Если тебе нужна только аутентификация от стороннего провайдера с минимальным набором данных о пользователе, то хватит openID, если же тебе нужно со своего сайта обращаться к ресурсам сторонних провайдеров (запрашивать фотографии, список друзей и т.д.), то здесь уже нужен OAuth.

Если в кратце, то и openID и OAuth предоставляют возможность реализовать аутентификацию в своём приложении используя сторонних провайдеров, но OAuth предоставляет больше возможностей.

Для этого существует аннотация @Conditional. Если используется Spring Boot, то у него есть @ConditionalOnMissingClass, которая позволяет указать, что отмеченный компонент нужно создавать, если не найден указанный класс:

@ConditionalOnMissingClass(ThirdBean.class)
@Component
public class FirstBean implements SimpleBean {
    @Override
    public String getName() {
        return "First Bean";
    }
}

А вообще при запуске приложения появляются сообщения о маппинге запросов, вроде:

s.w.s.m.m.a.RequestMappingHandlerMapping : Mapped "{[/docs/info],methods=[GET]}" onto ...
s.w.s.m.m.a.RequestMappingHandlerMapping : Mapped "{[/docs/control],methods=[POST]}"  onto ...

Если нет - то у тебя попросту контроллер не существует в контексте приложения. Если да - смотри, куда мапятся запросы.

Можно попробовать JSON-валидацию при помощи схемы.