Spring Security表单登录与REST API Basic Auth共存遇403问题排查

API 探路者

2026-6-30

问题排查与解决：Spring Security REST API Basic Auth 403 Forbidden

问题根源

从控制台日志可直接定位问题：

o.s.security.web.csrf.CsrfFilter         : Invalid CSRF token found for http://localhost:8080/api/enhance-process

你的/api/**对应的SecurityFilterChain未禁用CSRF保护。Spring Security默认会对POST/PUT/DELETE等请求校验CSRF令牌，但REST API基于Basic Auth认证时不需要CSRF防护，因此POST请求被拦截返回403。

修复代码

修改@Order(1)的SecurityFilterChain配置，新增CSRF禁用逻辑：

@Order(1)
@Bean
public SecurityFilterChain filterChain(HttpSecurity http) throws Exception {
    http.antMatcher("/api/**")
         .csrf().disable() // 禁用API接口的CSRF保护
         .authorizeRequests()
         .anyRequest()
         .hasAuthority("ADMIN")
         .and().httpBasic();
    
    return http.build();
}