我正在尝试学习Spring安全性。我曾BCryptPasswordEncoder先将用户密码编码，然后再保存到数据库中

：

@Override
    public void saveUser(User user) {
        user.setPassword(bCryptPasswordEncoder.encode(user.getPassword()));
        user.setActive(1);
        Role userRole = roleRepository.findByRole("ADMIN");
        user.setRoles(new HashSet<Role>(Arrays.asList(userRole)));
        userRepository.save(user);
    }

然后在身份验证期间也使用它，并且用户已按预期进行身份验证。

@Override
    protected void configure(AuthenticationManagerBuilder auth)
            throws Exception {
        auth.
            jdbcAuthentication()
                .usersByUsernameQuery(usersQuery)
                .authoritiesByUsernameQuery(rolesQuery)
                .dataSource(dataSource).passwordEncoder(bCryptPasswordEncoder);
    }

然后我.passwordEncoder(bCryptPasswordEncoder);从configure()方法中删除，仍然使用密码编码的用户仍成功通过身份验证。

然后，我从saveUser()和configure()方法中都删除了密码编码器，并将a持久化User到数据库中（即不使用密码编码），并尝试访问经过身份验证的页面，但是我得到了AccessedDeniedException，

但是即使我passwordEncoder()从configure()方法中删除了，使用编码密码的用户仍然可以通过身份验证。为什么会这样呢？

默认情况下，spring security是否在身份验证期间使用密码编码器？

如果是这样，如何在没有密码编码的情况下使用spring security？