如果声明为true，那么在access属性要用hasRole()这样写：
<intercept-url pattern="/secure/extreme/**" access="hasRole(‘ROLE_SUPERVISOR‘)"/>
如果声明为false（默认），那么access直接就是
<intercept-url pattern="/secure/extreme/**" access="ROLE_USER"/>
Spring Security http标签的use-expressions="true"属性
原文：http://www.cnblogs.com/wuyou/p/4122732.html