我正在编写jUnit测试来测试我的资源服务器的端点。
现在，这些端点通过@PreAuthorized（和类似的）注解进行保护，如下所示：

@PreAuthorize("hasAuthority('SCOPE_data.write')")
@PostMapping("/save")
public ResponseEntity<Book> saveBook(
        @io.swagger.v3.oas.annotations.parameters.RequestBody(
                description = "Save book",
                required = true,
                content = @Content(schema = @Schema(implementation = Book.class))) 
        @Valid @org.springframework.web.bind.annotation.RequestBody Book book){
    try {
        Book _book = bookRepo.save(new Book(book.getID(), vehicle.getTitle(), vehicle.getAuthor()));
        return new ResponseEntity<>(_book, HttpStatus.CREATED);
    }catch (Exception e) {
        return new ResponseEntity<>(null, HttpStatus.INTERNAL_SERVER_ERROR);
    }
}

我的单元测试应该是这样的：

@Test
public void testSaveBook() throws Exception {
        
    this.mockMvc.perform(
            post("/book/save")
                .contentType(MediaType.APPLICATION_JSON)
                .content(bookToSave))
        .with(jwt().authorities(new SimpleGrantedAuthority("SCOPE_data.write")))
        .andDo(print())
        .andExpect(status().isOk));
}

这是我的SecurityConfig：

@Bean
public SecurityFilterChain filterChain(HttpSecurity http) throws Exception {
    http
        .authorizeHttpRequests(exchanges -> exchanges
            .antMatchers("/v3/api-docs/**", "/swagger-ui/**", "/swagger-ui.html").permitAll()
            .anyRequest().authenticated())
        .csrf().disable()
        .oauth2ResourceServer(oauth2 -> oauth2.jwt(Customizer.withDefaults()));
    return http.build();
}

我关心的是jwt()指令。就像官方文档中写的那样，这条指令将创建一个带有**"headers" : { "alg" : "none" }**的jwt令牌。
我的问题如下：
1.为什么我的端点可以使用此令牌访问？为什么我的资源服务器接受这个令牌？
2.有了这个令牌，任何用户都可以访问我的端点，从而访问数据库中的数据。
3.使用此令牌是否存在任何安全问题？
4.是否有任何过滤器可以插入FilterChain中？
有人能回答我的问题，消除我的疑虑吗？
谢谢.