Spring Security中UsernamePasswordAuthenticationFilter为何显式校验HTTP方法？

你观察到的代码里，该过滤器默认通过DEFAULT_ANT_PATH_REQUEST_MATCHER限定只匹配POST请求的/login端点，但仍在attemptAuthentication中做了显式的HTTP方法校验，原因主要有这几点：

• 支持灵活配置postOnly开关：过滤器的postOnly属性默认是true，但开发者可以通过setPostOnly(false)修改它。同时，用户也可以自定义请求匹配器（比如调用setRequiresAuthenticationRequestMatcher设置允许GET请求的匹配规则），此时显式的方法校验会在postOnly=true时强制拦截非POST请求，防止用户名密码通过GET参数暴露在URL中——这是为了保障敏感数据的传输安全。

• 防御性编程的冗余防护：即使请求匹配器的配置完全正确，方法内的显式校验也能作为兜底。如果出现框架内部匹配逻辑的漏洞、或者配置失误导致非POST请求意外进入该方法，这层校验会立刻抛出AuthenticationServiceException，阻止不安全的认证流程。

• 兼容子类扩展场景：如果开发者继承该过滤器并重写了请求匹配的逻辑，但没处理HTTP方法的限制，父类中的显式校验依然会生效，确保核心的安全约束不被破坏，避免子类实现时的疏忽引入风险。

内容的提问来源于stack exchange，提问作者ba9c83134a187bb4