Tomcat身份验证和特定的Web应用程序身份验证

我在web.xml中使用以下配置来配置我的tomcat。因此，现在我将所有webapp都保护在webapps文件夹中。用户必须先进行身份验证，然后才能访问Web应用程序。

<security-constraint>
  <web-resource-collection>
    <web-resource-name>
      My Application
    </web-resource-name>
    <url-pattern>/*</url-pattern>
    <http-method>GET</http-method>
    <http-method>PUT</http-method>
  </web-resource-collection>
  <auth-constraint>
    <role-name>demo123</role-name>
    <role-name>admin</role-name>
  </auth-constraint>
</security-constraint>
<login-config>
  <auth-method>BASIC</auth-method>
  <realm-name>Secure Apps</realm-name>
</login-config>

用户登录后，他可以访问所请求的Web应用程序。我的问题：在Web应用程序中，用户必须登录（使用基本身份验证），因为在后面是具有所有服务器逻辑的特定服务器。我使用REST Web服务与该服务器进行通信。但是我无法调用Web服务，因为它向我显示了401未经授权。如果删除web.xml中的上述配置，则可以毫无问题地调用这些web服务。有没有一种方法可以以另一种方式保护Tomcat中的所有Web应用程序？我需要它，因为webapps需要基本身份验证。

对于应用程序，我使用spring框架。