SpringBoot+Angular部署Render后前端无数据且报403 Forbidden问题求助

我用SpringBoot和Angular开发一个期末项目的作品集网站，本地环境下所有功能运行正常，但将后端部署到Render平台后，前端无法显示数据。以下是我的MainSecurity配置代码：

@Configuration
@EnableWebSecurity
@EnableGlobalMethodSecurity(prePostEnabled = true)
public class MainSecurity extends WebSecurityConfigurerAdapter {

    @Autowired
    UserDetailsImpl userDetailsServicesImpl;

    @Autowired
    JwtEntryPoint jwtEntryPoint;

    @Bean
    public JwtTokenFilter jwtTokenFilter() {
        return new JwtTokenFilter();
    }

    @Bean
    public PasswordEncoder passwordEncoder() {
        return new BCryptPasswordEncoder();
    }

    @Override
    protected void configure(HttpSecurity http) throws Exception {
        http.cors().and().csrf().disable()
                .authorizeRequests()
                .antMatchers("**").permitAll()
                .anyRequest().authenticated()
                .and()
                .exceptionHandling().authenticationEntryPoint(jwtEntryPoint)
                .and()
                .sessionManagement().sessionCreationPolicy(SessionCreationPolicy.STATELESS);
        http.addFilterBefore(jwtTokenFilter(), UsernamePasswordAuthenticationFilter.class);
    }

    @Override
    protected AuthenticationManager authenticationManager() throws Exception {
        return super.authenticationManager();
    }

    @Bean
    @Override
    public AuthenticationManager authenticationManagerBean() throws Exception {
        return super.authenticationManagerBean();
    }

    @Override
    protected void configure(AuthenticationManagerBuilder auth) throws Exception {
        auth.userDetailsService(userDetailsServicesImpl).passwordEncoder(passwordEncoder());
    }

}

1. 优先解决CORS跨域问题 #

你当前代码里的http.cors()只是启用了CORS功能，但没有明确配置允许的前端域名。部署到Render后，前端和后端域名不同，浏览器会拦截跨域请求，导致数据无法获取。

添加明确的CORS配置Bean：

@Bean
public CorsConfigurationSource corsConfigurationSource() {
    CorsConfiguration configuration = new CorsConfiguration();
    // 测试阶段可以用*临时允许所有域名，生产环境替换成你的Angular部署域名（比如https://your-angular-site.onrender.com）
    configuration.setAllowedOrigins(Arrays.asList("*"));
    configuration.setAllowedMethods(Arrays.asList("GET", "POST", "PUT", "DELETE", "OPTIONS"));
    configuration.setAllowedHeaders(Arrays.asList("Authorization", "Content-Type"));
    configuration.setAllowCredentials(true);

    UrlBasedCorsConfigurationSource source = new UrlBasedCorsConfigurationSource();
    source.registerCorsConfiguration("/**", configuration);
    return source;
}

2. 检查JWT配置一致性 #

本地环境和Render部署环境的JWT密钥、过期时间等配置可能不一致，导致Token验证失败返回401。

• 把JWT相关配置（比如密钥）放到环境变量中，Render平台可以在部署设置里添加环境变量，SpringBoot通过@Value注解读取。
• 确保前端请求时携带的Token是用部署后端的密钥生成的，或者后端用统一的密钥解析。

3. 查看Render后端日志 #

登录Render后台，查看后端应用的日志，排查具体报错：

• 有没有CORS相关的错误提示？
• 有没有JWT Token解析失败的异常？
• 数据库连接是否正常？（如果用了数据库，要确认Render上的数据库配置和访问权限是否正确）

4. 确认前端请求地址 #

检查Angular的生产环境配置文件（environment.prod.ts），确保API的base URL已经改成Render上的后端地址，而不是本地的http://localhost:8080。

5. 优化Security配置（可选） #

你当前的antMatchers("**").permitAll()已经放开了所有请求，后面的.anyRequest().authenticated()不会生效。如果后续需要保护部分API，可以调整为只放开公开路径，比如：

.antMatchers("/api/public/**", "/auth/**").permitAll()
.anyRequest().authenticated()

内容的提问来源于stack exchange，提问作者JuliSayago