Spring Kotlin集成Spring Security提交Taco设计报403禁止访问

最可能的原因：CSRF令牌缺失 #

Spring Security默认启用CSRF保护机制，所有非GET类型的请求（POST、PUT、DELETE等）必须携带有效的CSRF令牌，否则会被拦截并返回403。你的表单提交未包含该令牌，是触发此问题的最常见原因。

解决方法 #

在design.html的表单中添加CSRF令牌字段：

<form method="post">
  <!-- 其他表单输入项 -->
  <input type="hidden" name="_csrf" th:value="${_csrf.token}"/>
  <button type="submit">提交设计</button>
</form>

如果使用Thymeleaf模板引擎，只需用th:action指定表单路径，框架会自动注入CSRF令牌，无需手动添加：

<form method="post" th:action="@{/design}">
  <!-- 表单内容 -->
</form>

其他排查方向 #

• 检查Security权限配置：确认SecurityFilterChain中是否允许已认证用户访问POST /design。如果配置了权限规则，需确保包含如下设置：

@Bean
fun filterChain(http: HttpSecurity): SecurityFilterChain {
    http
        .authorizeHttpRequests { auth ->
            auth
                .requestMatchers("/design", "/design/**").authenticated()
                // 其他权限规则
        }
    // 其他Security配置
    return http.build()
}

若之前的配置被意外修改，限制了POST请求的访问权限，也会导致403错误。

• 验证Session有效性：虽然你能正常访问GET页面说明Session大概率正常，但仍可通过浏览器开发者工具检查登录后的Session是否存在异常销毁的情况。

快速验证步骤 #

1. 打开浏览器开发者工具，查看表单提交的请求参数，确认是否包含_csrf字段；
2. 若缺失令牌，按上述方法添加后重新测试提交；
3. 若问题仍存在，检查Security配置的权限规则是否覆盖了POST请求。

内容的提问来源于stack exchange，提问作者Saher Al-Sous