Безопасность Spring может использовать @PreAuthorize на методах контроллеров Spring?

Да, это работает нормально.

Вам нужен в ...-servlet.xml. Он также требует CGLIB-прокси, поэтому либо ваши контроллеры не должны иметь интерфейсов, либо вы должны использовать proxy-target-class = true.