Heroku部署前后端应用：POST请求403错误排查求助

以下是针对该问题的具体排查和解决步骤：

1. 检查Spring Security的CSRF防护（最常见原因） #

即使未配置令牌验证，Spring Boot集成Spring Security时默认会启用CSRF防护，它会拦截POST、PUT、DELETE等修改类请求，要求携带CSRF令牌。Postman直接发送请求时可能未触发CSRF校验，但前端浏览器的请求会被拦截并返回403。

解决方法：

• 若不需要CSRF防护（比如纯API服务，无前端会话），可在Spring Security配置类中关闭：

@Configuration
public class SecurityConfig extends WebSecurityConfigurerAdapter {
    @Override
    protected void configure(HttpSecurity http) throws Exception {
        http.csrf().disable(); // 关闭CSRF防护
        // 其他配置...
    }
}

• 若需保留CSRF，需在前端请求中携带CSRF令牌：后端可通过接口返回令牌，前端在POST请求的X-XSRF-TOKEN头中传递。

2. 验证CORS配置的完整性 #

虽然在控制器添加了@CrossOrigin，但可能存在以下遗漏：

• 确认@CrossOrigin是否允许POST方法：默认允许所有方法，也可显式指定确保无误：

@CrossOrigin(origins = "你的前端Heroku域名", methods = {RequestMethod.GET, RequestMethod.POST})

• 改用全局CORS配置，避免控制器级配置的遗漏：

@Configuration
public class CorsConfig implements WebMvcConfigurer {
    @Override
    public void addCorsMappings(CorsRegistry registry) {
        registry.addMapping("/**")
                .allowedOrigins("你的前端Heroku域名")
                .allowedMethods("GET", "POST", "PUT", "DELETE")
                .allowedHeaders("*")
                .allowCredentials(true);
    }
}

注意：确保allowedOrigins是前端的完整Heroku域名（比如https://your-frontend-app.herokuapp.com），若需携带凭证不要使用通配符*。

3. 检查前端请求的细节 #

• 确认前端POST请求的URL是否正确：需和Postman中使用的一致，注意协议必须为HTTPS（Heroku应用默认使用HTTPS）。
• 检查请求头：若发送JSON数据，确保Content-Type设置为application/json，避免触发意外的预检请求失败。
• 若后端允许凭证，前端请求需配置withCredentials: true（axios或fetch均需设置）：

// Axios示例
axios.post('/api/xxx', data, { withCredentials: true });

4. 查看Heroku后端日志定位具体错误 #

直接查看后端应用日志，可精准找到403的原因：
在本地终端执行命令：

heroku logs --app 你的后端应用名称 --tail

发送前端POST请求后，查看日志中的错误信息，会明确显示是CSRF拦截还是CORS配置问题，根据提示针对性解决。

内容的提问来源于stack exchange，提问作者jTaraconat