Spring Security下RestController的POST端点无法免认证访问的问题

结合你的代码和问题现象，核心问题集中在CSRF防护、请求方法匹配或请求格式这几个方面，以下是针对性的解决方案：

1. 处理CSRF防护拦截 #

Spring Security默认启用CSRF保护，对POST/PUT/DELETE等修改型请求会强制校验CSRF令牌。由于你的端点是供其他项目调用的API，调用方通常不会携带CSRF令牌，因此会被拦截并跳转到登录页。

方案一：全局关闭CSRF（适合以API为主的项目） #

在SecurityConfig的securityFilterChain方法中添加CSRF禁用配置：

@Bean
protected SecurityFilterChain securityFilterChain(HttpSecurity http) throws Exception {
    http.csrf(csrf -> csrf.disable()); // 新增CSRF禁用配置

    http.authorizeHttpRequests((auth) -> auth
            .requestMatchers("/api/call").permitAll()
            .anyRequest().authenticated());

    // 其余formLogin、logout配置保持不变
    return http.build();
}

方案二：仅排除指定API端点的CSRF（适合Web+API混合项目） #

如果不想全局关闭CSRF，可单独让/api/call跳过校验：

@Bean
protected SecurityFilterChain securityFilterChain(HttpSecurity http) throws Exception {
    http.csrf(csrf -> csrf
            .ignoringRequestMatchers("/api/call") // 仅排除该端点的CSRF校验
    );

    // 其余配置保持不变
    return http.build();
}

2. 明确指定请求方法匹配 #

虽然requestMatchers默认匹配所有HTTP方法，但明确指定POST方法可以避免潜在的匹配优先级问题，让配置逻辑更清晰：

http.authorizeHttpRequests((auth) -> auth
        .requestMatchers(HttpMethod.POST, "/api/call").permitAll() // 明确指定匹配POST请求
        .requestMatchers(/* 其他公开端点 */).permitAll()
        .anyRequest().authenticated());

3. 确保请求携带正确的Content-Type #

你的端点使用@RequestBody接收JSON参数，要求请求必须设置Content-Type: application/json请求头。如果未设置该头，Spring无法解析请求体，会抛出异常，进而被Security的异常处理逻辑引导到登录页。发送请求时务必添加该请求头（如Postman、curl等工具都需要配置）。

4. 优化实体类的字段配置 #

你当前的实体类字段使用public修饰符，虽然Lombok的@Getter/@Setter能正常生成方法，但建议改为私有字段，遵循JavaBean规范，避免潜在的序列化问题：

@AllArgsConstructor
@NoArgsConstructor
@Getter
@Setter
@ToString
public class CallRequest {
    private String fromRef;
    private String toRef;
}

内容的提问来源于stack exchange，提问作者Guillermo Chávez