Spring Boot Security问题：访问/getuser接口出现403 Forbidden

问题分析 #

结合提供的配置、代码及补充信息，核心矛盾点如下：

• /路径与/getuser权限配置完全一致，但前者可正常访问，后者返回403
• 仅返回带Model的index页面的接口出现403，其余接口正常
• 当前用户已持有ROLE_DEV权限，符合/getuser的权限要求

可能的原因及解决方案 #

1. CSRF防护拦截（最可能） #

Spring Security默认开启CSRF防护，仅对GET请求放行，POST/PUT/DELETE等请求需携带CSRF Token，否则会返回403。若/getuser是通过POST请求访问，且未携带CSRF Token，就会触发拦截。

解决方案：

• 方式一：添加CSRF Token到请求中
  若使用Thymeleaf模板，在提交表单时自动注入CSRF Token：

  <form th:action="@{/getuser}" method="post">
      <input type="hidden" th:name="${_csrf.parameterName}" th:value="${_csrf.token}" />
      <!-- 其他表单字段 -->
      <button type="submit">提交</button>
  </form>
  

• 方式二：关闭CSRF防护（仅适用于信任环境）
  在WebConfig的configure方法中关闭CSRF：

  protected void configure(HttpSecurity http) throws Exception {
      http
          .csrf().disable() // 新增此行
          .authorizeRequests()
              .antMatchers("/styles/**", "/error").permitAll()
              .antMatchers("/users", "/userlog").hasRole(AdminRoles.DEV.name())
              .antMatchers("/logs", "/updlog").hasAnyRole(AdminRoles.DEV.name(), AdminRoles.ADMIN.name())
              .antMatchers("/update", "/getuser", "/").hasAnyRole(AdminRoles.DEV.name(), AdminRoles.ADMIN.name(), 
                                                                  AdminRoles.MODERATOR.name())
              .anyRequest().authenticated()
              .and()
          .formLogin();
  }
  

2. 页面渲染时的权限拦截 #

若index页面中使用了Spring Security的页面权限控制标签（如sec:authorize），且标签内的权限要求高于当前用户权限，可能导致页面渲染时触发权限拦截，表现为接口返回403。

解决方案：

检查index.html中的权限控制标签，确保其要求的权限与当前用户匹配。例如：

<!-- 错误示例：要求ROLE_ADMIN权限，但当前用户只有ROLE_DEV -->
<div sec:authorize="hasRole('ADMIN')">
    仅管理员可见内容
</div>

修改为符合当前用户权限的配置，或移除不必要的权限限制。

3. 请求参数异常导致的权限误判 #

若/getuser的请求参数server未正确传递（如为空或非整数），会触发参数绑定异常。若异常处理逻辑未正确配置，可能被Spring Security误判为权限问题返回403。

解决方案：

• 确保请求中正确传递server参数，或修改Controller方法参数为可选类型：

  @RequestMapping("/getuser")
  public String getuser(String userData, @RequestParam(required = false, defaultValue = "1") int server, Model model) throws SQLException, Exception{
      model.addAttribute("user", base.GetUser(userData, server));
      return "index";
  }
  

• 配置全局异常处理器，捕获参数绑定异常并返回友好提示，避免被权限拦截。

内容的提问来源于stack exchange，提问作者PlakhtiiD1103