Вот он, подход архитекторов. А можно просто вместо spring-security воткнуть свой фильтр и реализовать пару методов. Внутри приложения, без усложнения обвязки вокруг него.
Вот он, подход кодеров, лишь бы что-то где-то дописать. А потом самому руками дорабатывать отдельно каждый сервис в каждой команде, воктнуть фильтр, воткнуть телеметрию, воткнуть новый ACL, воткнуть сжатие, самим начать подкладывать серты. DRY? - та нафиг оно надо, переиспользуемые комопненты это же зло, единый подход упрощающий онбординг и поодержку - вообще не нужно.
Это работает, если речь только про один сервис, когда речь про большую компании и кучу сервисов, ты утонешь поддерживать и следить, кто там себе какие филтры нагородил.
Тебе же лучше как разрабу, только апишку делаешь, остальное за тебя сделают devOps и сами будут вести эту поодержку, потому-что ты катаешь только сервис с бизнес логикой, а все вопросы доступа, транспорта, квот и многие другие решают за тебя. Разделение труда и зон отвественности