Что такое «основной» в Spring Security?

Возвращение ссылки на локальную автоматическую переменную всегда неверно.

Не имеет значения, является ли это rvalue или lvalue