@holmis, как вы указали, виновником является # в коде! этот код
@PostAuthorize("returnObject!=null?returnObject.userId==principal.account.aid:true")
работает!