已配置permitAll，Spring Boot POST请求仍返回403的原因排查

问题出在两个关键点：

1. Spring Security默认CSRF防护导致POST请求403 #

Spring Security默认开启CSRF（跨站请求伪造）防护，GET请求不会触发CSRF校验，但POST、PUT这类会修改数据的请求必须携带合法的CSRF Token才能通过校验。哪怕你配置了anyRequest().permitAll()，只要CSRF校验失败，就会返回403 Forbidden。这就是GET能正常返回、POST被拦截的核心原因。

2. @RequestBody无法解析form-urlencoded格式请求 #

你的POST接口用了@RequestBody注解，但请求是application/x-www-form-urlencoded格式——这个注解是用来解析JSON/XML请求体的，和表单格式不兼容，就算解决了CSRF问题，这个接口也会抛出参数绑定异常，得一起修正。

具体解决方案 #

方案一：调试环境临时关闭CSRF #

如果只是本地调试想快速验证接口功能，可以直接关闭CSRF防护：

@Configuration
@EnableWebSecurity
public class SecurityConfig {
    @Bean
    public SecurityFilterChain securityFilterChain(HttpSecurity http) throws Exception {
        http
            .authorizeHttpRequests(authz -> authz
                .anyRequest().permitAll()
            )
            .csrf(csrf -> csrf.disable()); // 关闭CSRF校验
        return http.build();
    }
}

方案二：修正POST接口的参数绑定 #

把@RequestBody换成@ModelAttribute（或者直接省略，Spring会自动为表单参数绑定实体类），适配form-urlencoded格式：

@PostMapping(consumes = MediaType.APPLICATION_FORM_URLENCODED_VALUE)
public void addContact(@ModelAttribute PotentialContact contact) {
    potentialContactRepo.save(contact);
}

方案三：生产环境正确处理CSRF（推荐） #

生产环境不建议直接关闭CSRF，推荐两种方式：

• 前端请求时携带CSRF Token：Spring Security默认会把Token存在XSRF-TOKEN Cookie中，前端可以取出后放到请求头X-XSRF-TOKEN里发送
• 对特定接口豁免CSRF校验：如果是纯后端API（没有前端页面），可以配置豁免规则：

@Configuration
@EnableWebSecurity
public class SecurityConfig {
    @Bean
    public SecurityFilterChain securityFilterChain(HttpSecurity http) throws Exception {
        http
            .authorizeHttpRequests(authz -> authz
                .anyRequest().permitAll()
            )
            .csrf(csrf -> csrf
                .ignoringRequestMatchers("/contact") // 让/contact接口跳过CSRF校验
            );
        return http.build();
    }
}

内容的提问来源于stack exchange，提问作者Jackie