SpringBoot 3.2.1网关+SpringSecurity 6.2.1 CSRF令牌缺失问题排查

排查配置类型与优先级 #

• 确认SecurityConfig使用的是反应式Web安全注解：Spring Cloud Gateway基于WebFlux，需用@EnableReactiveWebSecurity而非Servlet环境的@EnableWebSecurity，否则配置不会生效。
• 检查是否存在多个SecurityConfig类，确保你的配置类被Spring正确扫描，且securityWebFilterChain Bean（返回SecurityWebFilterChain）唯一且被@Bean标记。示例正确配置：

  @Configuration
  @EnableReactiveWebSecurity
  public class SecurityConfig {
      @Bean
      public SecurityWebFilterChain securityWebFilterChain(ServerHttpSecurity http) {
          return http
              .csrf(csrf -> csrf.disable())
              .authorizeExchange(exchanges -> exchanges
                  .pathMatchers("/api/auth/**").permitAll()
                  .anyExchange().authenticated()
              )
              .build();
      }
  }
  

验证路径匹配规则 #

• 确保CSRF禁用规则覆盖目标路径/api/auth/register，检查路径是否存在大小写、前缀冲突（比如网关路由是否额外添加了路径前缀，导致实际请求路径与配置不匹配）。
• 避免模糊匹配导致的规则失效，明确指定/api/auth/**这类精准的路径匹配范围。

排查EOFException与请求合法性 #

• EOFException提示请求体读取异常，可能是请求本身不合法导致错误信息误导：
  • 检查Postman请求：确认Content-Type设置为application/json（若为JSON请求体），请求体格式无语法错误，非空。
  • 用curl测试排除工具问题：

    curl -X POST http://localhost:8765/api/auth/register -H "Content-Type: application/json" -d '{"username":"test","password":"123456"}'
    

检查网关路由与过滤器 #

• 确认网关路由配置是否正确转发请求，排查路由过滤器是否修改了请求头/体，触发了额外的校验逻辑。
• 开启网关DEBUG级别日志，观察请求处理全流程，确认CSRF过滤器是否仍在执行。

核对依赖版本兼容性 #

• 检查Spring Boot与Spring Cloud版本是否匹配，部分版本组合存在CSRF禁用不生效的已知问题，可尝试升级到稳定兼容版本。

内容的提问来源于stack exchange，提问作者Tobias Olea