La seguridad de Spring inyectando null @AuthenticatedPrincipal en los controladores.

Java 11, Spring Security aquí. Tengo el siguiente punto final/método en mi @RestController:

@GetMapping("/centerPoint")
public void centerPoint(@AuthenticationPrincipal ExpiringUsernameAuthenticationToken token,
          HttpServletResponse response) throws IOException {

<p>Authentication auth = SecurityContextHolder.getContext().getAuthentication();
  if (auth == null) {
    LOGGER.warn("La instancia de autenticación actual del contexto de seguridad está nula");
    response.sendRedirect("alguna URL de redirección");
    return;
  }</p>

<p>SAMLCredential attributes = ((SAMLCredential) token.getCredentials());
  // ...código restante omitido por brevedad</p>

<p>}

Cuando establezco un punto de interrupción dentro de este método e inicio sesión en mi aplicación, token es null (lo que significa que no se inyectó correctamente como un @AuthenticatedPrincipal) sin embargo SecurityContextHolder.getContext().getAuthentication() devuelve una instancia de Authentication que parece estar completamente bien. Recibo un NPE cuando se llama a token.getCredentials() en la parte inferior.

Sé que este es un fragmento de código incompleto y estoy dispuesto a proporcionar otras partes del código de seguridad (WebSecurityConfig, etc.) sin embargo, me pregunto: ¿qué causaría que SecurityContextHolder.getContext().getAuthentication() no tenga un token para inyectar, pero sea no nulo?