догадаться вообще нельзя. нужно читать документацию (желательно полностью и периодически снова ее перечитывать). тогда постепенно будет приходить больше и больше понимания. с первого прочтения я там понял процентов 20 от силы.
спринг-секьюрити вообще очень запутан, к сожалению. я очень хорошо в нем в свое время разобрался, но если сейчас кто-то попросит рассказать в деталях, как там все работает, в полной мере я сделать это не смогу. много компонентов и indirect-а. сколько бы я раз его не использовал, но когда нужно что-то сделать в очередном проекте, то каждый раз приходится идти в документацию и перечитывать.