禁用CSRF保护后Spring2.4.1接口请求返回401未授权如何修复

核心认知偏差 #

你遇到的401错误和CSRF禁用操作没有关联：CSRF防护触发拦截时返回的状态码是403 Forbidden，而401 Unauthorized的本质是请求未携带有效认证信息、或认证信息校验不通过。
结合你给出的配置，触发401的常见原因和对应修复方式如下： #

1. 核对权限规则是否符合业务预期 #

你当前配置中设置了.anyRequest().authenticated()，代表所有非OPTIONS方法的接口，都必须完成认证才能访问。如果你需要开放部分公开接口，需要显式补充permitAll的匹配规则，示例调整后的代码：

@Override
protected void configure(HttpSecurity http) throws Exception{
    http
        .csrf().disable()
        .authorizeRequests()
        .antMatchers(HttpMethod.OPTIONS,"/**").permitAll()
        // 按需添加需要公开访问的接口路径，例如登录接口、公共资源接口
        .antMatchers("/auth/login", "/public/**").permitAll()
        .anyRequest().authenticated()
        .and()
        .httpBasic();
}

2. 检查Postman的认证头配置 #

你当前配置启用了httpBasic认证模式，使用Postman发请求时必须完成对应认证配置：

• 打开Postman请求的「Authorization」标签，类型选择Basic Auth
• 填入正确的用户名、密码：如果没有自定义实现UserDetailsService，Spring Boot 2.4.1默认会在启动时在控制台打印随机生成的默认用户名（一般为user）和随机密码，直接使用这套凭证填入Postman即可
• 如果你不想每次启动都使用随机密码，可以在application.yml中配置固定的默认认证用户，示例配置：

spring:
  security:
    user:
      name: test_account
      password: test_pass_123
      roles: USER

3. 排查配置类失效问题 #

Spring Boot 2.4.1中WebSecurityConfigurerAdapter虽仍兼容，但存在配置不生效的可能：

• 检查SpringSecurityConfiguration类所在的包路径，是否被启动类的组件扫描范围覆盖（启动类的@SpringBootApplication默认仅扫描同包及子包，若配置类放在扫描范围外，整个安全配置会完全失效，触发默认的全接口强制认证、随机密码逻辑）
• 如果项目同时引入了其他Security相关的自定义配置类，注意核对配置类的加载优先级，避免自定义规则被Spring Security的默认配置覆盖

内容的提问来源于stack exchange，提问作者Imalsha Rathnaweera