405不允许POST的方法

Question

我有一个非常简单的Spring引导应用程序，它由以下代码保护：

http.authorizeRequests()
        .antMatchers("/admin/**").access("hasRole('ROLE_ADMIN')")
        .and()
          .formLogin().loginPage("/login").failureUrl("/login?error")
          .usernameParameter("username").passwordParameter("password")
        .and()
          .logout().logoutSuccessUrl("/login?logout")
        .and()
          .exceptionHandling().accessDeniedPage("/403");

这个想法是为了保护“admin”部分。它公开了一个RESTAPI。问题是所有的帖子都被退回了

405方法不允许

如果我从应用程序中删除安全启动器，它就会工作。这让我相信安全配置是问题所在。但我不知道怎么做。

Answer 1

如果使用Spring Security SAML扩展并且您的SAMLUserDetailsService返回UsernameNotFoundException，也会发生这种情况。看起来很反直觉，但这是默认情况下（根据我的经验）。

Answer 2

这应该很容易。

如果启用了CSRF，则不允许POST和PUT请求，并且spring boot默认启用这些请求。

只需将其添加到配置代码中：

.csrf().disable()

即:

http.
.csrf().disable().
authorizeRequests()
        .antMatchers("/admin/**").access("hasRole('ROLE_ADMIN')")
        .and()
          .formLogin().loginPage("/login").failureUrl("/login?error")
          .usernameParameter("username").passwordParameter("password")
        .and()
          .logout().logoutSuccessUrl("/login?logout")
        .and()
          .exceptionHandling().accessDeniedPage("/403");

如果需要启用CSRF，请参考文档：

http://docs.spring.io/spring-security/site/docs/4.0.x/reference/htmlsingle/#csrf-配置