Spring Security Basic Authentication, czy to działa poprawnie?

Cześć
Dodałem sobie Spring Security Basic Authentication do projektu w Spring Boocie w celu dodania security do API. Implementacja wygląda w sposób następujący:

@Configuration
public class SpringSecurityConfig extends WebSecurityConfigurerAdapter {
    
    @Override
    protected void configure(HttpSecurity http) throws Exception {
        http.httpBasic()
                .and()
                .authorizeRequests()
                .anyRequest()
                .authenticated();
        http.csrf().disable();

    }
    
    @Autowired
    public void configureGlobal(AuthenticationManagerBuilder auth) throws Exception {
        auth.inMemoryAuthentication().withUser("user").password("user").roles("USER");
    }
}

Puszczam requesty z Postaman i na pierwszy rzut oka wydaje się, że wszystko działa, wpisuje dobry login hasło-> przepuszcza, wpisując błędny nie ALE zauważyłem sytuacje tego typu:

1. Wpisuje poprawny login i hasło -> zwraca wynik
2. Zmieniam hasło w Postaman i zwraca także poprawny wynik (jakiś cache?)
3. Dopiero zmiana loginu w Postman powoduje, że autentykacja nie przejdzie.

Może ktoś wyjaśnić mi czemu to tak działa?

Na windowsie też tak jest. Jak już jesteś zalogowany, to po zmianie hasła dalej jesteś w systemie. Czemu cię to dziwi? Hasło jest potrzebne przy logowaniu do systemu, później już nie.