Spring security 为啥那么难。。。

https://www.cnblogs.com/xz816111/p/8528896.html
https://segmentfault.com/a/1190000012560773
首先，特别感谢大家没有 DISS 我是伸手党，现在论坛问个问题特害怕这个了。
上边两篇文章，让我对 Spring Security 的运行，有了一个更完整一点的概念，有需要的可以看下。
然后我说一下，现在我的解决方案，因为这里有一些问题，还是需要大家的帮助。

• 自定义以下几个类：

// 用来处理抛出的 AuthenticationException
class CustomAuthenticationEntryPoint implements AuthenticationEntryPoint
// 用来获取前端传过来的 Token，交由 AuthenticationProvider 校验。（重要）
class CustomAuthenticationFilter extends OncePerRequestFilter
// 用户装载 Token，和检出的用户 UserDetails
class CustomAuthenticationToken implements Authentication
// 校验 Token 的正确性
class CustomAuthenticationProvider implements AuthenticationProvider 

• 下边是 class WebSecurityConfig extends WebSecurityConfigurerAdapter 配置

    @Override
    protected void configure(AuthenticationManagerBuilder authenticationManagerBuilder) throws Exception {
        authenticationManagerBuilder
                .authenticationProvider(customAuthenticationProvider);
    }

    @Override
    protected void configure(HttpSecurity httpSecurity) throws Exception {
        httpSecurity.authorizeRequests().anyRequest().authenticated();
        httpSecurity.headers().cacheControl();
        httpSecurity.csrf().disable();
        httpSecurity.sessionManagement().sessionCreationPolicy(SessionCreationPolicy.STATELESS);
        httpSecurity.addFilterAfter(new CustomAuthenticationFilter(authenticationManager()), AnonymousAuthenticationFilter.class);
        httpSecurity.exceptionHandling().authenticationEntryPoint(new CustomAuthenticationEntryPoint());
    }

    @Override
    public void configure(WebSecurity webSecurity) throws Exception {
        webSecurity.ignoring()
                .antMatchers(HttpMethod.OPTIONS, "/**")
                .antMatchers("/auth/login")
        super.configure(webSecurity);
    }

好了，基本说完现在情况了，现在这个配置基本可以满足 REST 的使用了，但是还有两个问题，比较疑惑

• httpSecurity.addFilterAfter(new CustomAuthenticationFilter(authenticationManager()), AnonymousAuthenticationFilter.class); 这样添加自定义 Filter ，Filter 无法根据 httpSecurity.requestMatchers() 的设置，自动跳过无需登录的 uri，我这个添加 Filter 的方法正确吗？
• CustomAuthenticationEntryPoint 只能捕获到 class org.springframework.security.authentication.InsufficientAuthenticationException 这样一个 Exception，运行中分别抛出的 AuthenticationCredentialsNotFoundException 和 BadCredentialsException 这两个 Exception 只会在控制台 DEBUG 输出，无法捕获到，我应该怎么处理。