Spring Boot 3下WebSecurityConfig升级适配问题求助

问题分析 #

原代码的核心配置逻辑：

• 禁用CSRF保护
• 允许POST请求访问/users和/login，其余请求需认证
• 开启CORS支持

你尝试的代码缺失了原配置中的关键项：未禁用CSRF、未指定POST方法限制、未开启CORS，还额外添加了不必要的httpBasic认证，这些是导致POST请求无法正常工作的原因。

正确升级代码 #

@Configuration
@EnableWebSecurity
public class WebSecurityConfig {

    @Bean
    public SecurityFilterChain securityFilterChain(HttpSecurity http) throws Exception {
        http
                // 保持原配置：禁用CSRF保护
                .csrf(csrf -> csrf.disable())
                // 配置请求授权规则，和原逻辑完全匹配
                .authorizeHttpRequests(auth -> auth
                        .requestMatchers(HttpMethod.POST, "/users", "/login").permitAll()
                        .anyRequest().authenticated()
                )
                // 开启CORS支持
                .cors(cors -> cors.configurationSource(corsConfigurationSource()));

        return http.build();
    }

    // 配置全局CORS规则（替代原代码中无效的@CrossOrigin注解）
    @Bean
    public CorsConfigurationSource corsConfigurationSource() {
        CorsConfiguration configuration = new CorsConfiguration();
        // 允许跨域的源，可根据实际业务调整为具体域名
        configuration.setAllowedOriginPatterns(Collections.singletonList("*"));
        configuration.setAllowedMethods(Arrays.asList("GET", "POST", "PUT", "DELETE", "OPTIONS"));
        configuration.setAllowedHeaders(Collections.singletonList("*"));
        configuration.setAllowCredentials(true);

        UrlBasedCorsConfigurationSource source = new UrlBasedCorsConfigurationSource();
        source.registerCorsConfiguration("/**", configuration);
        return source;
    }
}

关键配置说明 #

• 禁用CSRF：Spring Security默认开启CSRF保护，POST请求会强制验证CSRF Token，原代码中禁用了该规则，升级后需保持一致，否则POST请求会被拦截。
• 请求授权规则：明确指定仅允许POST方法访问/users和/login，和原配置的权限逻辑完全对齐。
• CORS配置：原代码中@CrossOrigin注解放在configure方法上是无效的，通过CorsConfigurationSource配置全局CORS规则，确保跨域请求正常处理。
• 移除httpBasic：原代码未使用HTTP Basic认证，升级后无需添加该配置，避免引入不必要的认证逻辑。

额外注意事项 #

如果项目使用了自定义认证逻辑（如JWT），需要在SecurityFilterChain中添加对应的认证过滤器，示例：

http.addFilterBefore(jwtAuthenticationFilter(), UsernamePasswordAuthenticationFilter.class);

内容的提问来源于stack exchange，提问作者Matheus Vaz