Keycloak保护Spring Boot API：GET正常POST返回403禁止访问问题

算力阿峰

2026-8-20

Keycloak保护Spring Boot API时POST接口403问题解决

POST接口返回403但GET接口正常，核心原因是Spring Security默认CSRF防护拦截了POST请求，同时需确认角色映射是否匹配。以下是具体解决方案：

解决方案1：关闭CSRF防护（纯REST API场景适用）

REST API基于Bearer Token验证，无需CSRF防护。在SecurityConfig的configure(HttpSecurity)方法中添加禁用配置：

@Override
protected void configure(HttpSecurity http) throws Exception
{
    super.configure(http);
    http
            .csrf().disable() // 新增此行关闭CSRF防护
            .authorizeRequests()
            .anyRequest().permitAll();
}

解决方案2：修正角色映射匹配问题

从你提供的JWT Token可见，realm_access.roles包含admin角色，但Spring Security的SimpleAuthorityMapper默认会给角色添加ROLE_前缀，导致@RolesAllowed("admin")无法匹配实际权限。有两种修正方式：

方式A：修改注解中的角色名称

将Controller的注解改为：

@RolesAllowed("ROLE_admin")

方式B：配置SimpleAuthorityMapper去掉前缀

在configureGlobal方法中调整权限映射规则：

@Autowired
public void configureGlobal(AuthenticationManagerBuilder auth) throws Exception {
    KeycloakAuthenticationProvider keycloakAuthenticationProvider = new KeycloakAuthenticationProvider();
    SimpleAuthorityMapper authorityMapper = new SimpleAuthorityMapper();
    authorityMapper.setPrefix(""); // 移除默认的ROLE_前缀
    keycloakAuthenticationProvider.setGrantedAuthoritiesMapper(authorityMapper);
    auth.authenticationProvider(keycloakAuthenticationProvider);
}