Spring WebSecurityConfigurerAdapter如何允许POST请求？配置后仍403问题排查

你遇到的403问题大概率是Spring Security默认开启的CSRF保护导致的——默认情况下，Spring Security会拦截所有POST请求，要求请求携带CSRF令牌，否则直接返回403。你的配置里虽然给了/interface的POST请求permitAll()权限，但没处理CSRF校验，所以还是会被拦截。

下面是几个可行的解决方案，按优先级推荐：

方案1：为/interface单独关闭CSRF校验 #

如果这个接口是对外公开的（比如供第三方调用、无会话场景），可以精准地忽略该路径的CSRF校验：

@Configuration 
@EnableWebSecurity 
public class WebSecurityConfiguration extends WebSecurityConfigurerAdapter { 
    @Override 
    protected void configure(HttpSecurity http) throws Exception { 
        http 
            // 先配置CSRF规则
            .csrf()
                .ignoringAntMatchers(HttpMethod.POST, "/interface") // 跳过该路径的CSRF校验
                .and()
            // 再配置授权规则
            .authorizeRequests()
                .antMatchers(HttpMethod.POST, "/interface").permitAll()
                .anyRequest().authenticated() // 给其他请求添加合适的授权规则，避免全局开放
                .and()
            // 保留已生效的CSP等头配置
            .headers()
                .contentTypeOptions().and()
                .cacheControl().and()
                .httpStrictTransportSecurity().and()
                .frameOptions().and()
                .contentSecurityPolicy("the csp header. it is present on every response."); 
    } 
}

方案2：全局关闭CSRF（仅推荐纯API服务场景） #

如果你的应用是无状态的纯API服务，不需要会话和CSRF保护，可以全局关闭CSRF：

http.csrf().disable()

⚠️ 注意：这会降低有会话场景下的安全性，比如用户登录后的表单提交场景，谨慎使用。

其他排查方向 #

• 检查授权规则顺序：Spring Security的规则是按编写顺序匹配的，如果permitAll()之后有anyRequest().authenticated()，要确保前者先被匹配到。
• 确认路径匹配准确性：如果你的应用有上下文路径（比如部署在/app下），要把路径写成/app/interface，或者调整antMatchers的匹配模式。
• 排查自定义过滤器：如果项目里有其他自定义的安全过滤器，可能会在Spring Security之前拦截请求，导致403。

内容的提问来源于stack exchange，提问作者Gábor DANI