Spring Security下Postman调用/login接口登录失败问题求助

先看你的Spring Security配置里的两个关键冲突点，这就是导致Postman登录失败的核心原因：

问题根源 #

你在WebSecurity中配置了：

@Override
public void configure(WebSecurity web) {
    web
            .ignoring()
            .antMatchers(HttpMethod.POST, "/createUser")
            .antMatchers(HttpMethod.POST, "/login"); // 这里是关键问题
}

WebSecurity.ignoring()的作用是让指定请求完全绕过Spring Security的所有安全过滤器链，包括认证相关的处理逻辑。这意味着你用Postman发送POST请求到/login时，这个请求压根没经过Spring Security的表单登录认证流程，自然无法完成登录。

而浏览器能成功登录的原因是：浏览器访问的是Spring Security自动生成的登录页面（GET /login，这个被HttpSecurity的permitAll()允许），提交表单时的POST请求本应被formLogin()的过滤器处理，但你的WebSecurity忽略配置其实和HttpSecurity的formLogin()规则冲突了——只是浏览器的会话机制让你误以为登录成功，实际如果仔细抓包，会发现浏览器的表单提交也没走正常认证流程，只是靠会话缓存维持了状态。

修复步骤 #

1. 移除WebSecurity中对POST /login的忽略配置 #

/login是需要Spring Security处理认证的核心接口，绝对不能被跳过安全过滤器。修改后的configure(WebSecurity web)应该是：

@Override
public void configure(WebSecurity web) {
    web
            .ignoring()
            .antMatchers(HttpMethod.POST, "/createUser"); // 仅忽略无需安全校验的创建用户接口
}

2. 确认formLogin的参数匹配（可选） #

Spring Security的formLogin默认接受的参数名是username和password，如果你在业务中用了自定义参数名，需要在HttpSecurity里显式配置：

.formLogin()
    .usernameParameter("自定义用户名参数名")
    .passwordParameter("自定义密码参数名")
    .permitAll();

3. Postman的正确登录请求方式 #

修复配置后，你可以按以下步骤用Postman完成登录：

• 新建POST请求，URL填写你的/login接口地址
• 在Headers中设置Content-Type为application/x-www-form-urlencoded（符合表单提交的标准格式）
• 在Body选项卡选择x-www-form-urlencoded，添加两个参数：
  • 键：username，值：你的登录用户名
  • 键：password，值：你的登录密码
• 发送请求，成功后Spring Security会返回Session Cookie。后续测试受保护接口时，开启Postman的Automatically send cookies功能，或者手动将Cookie添加到请求头，就能正常访问了。

额外提示 #

如果你的应用是前后端分离架构，不依赖传统表单登录页面，建议改用JWT或OAuth2等无状态认证方案，这样更适配API接口的测试和调用场景。

内容的提问来源于stack exchange，提问作者makiz1234