使用Spring Boot/Spring Security配置公共endpoint适用于GET，但不适用于POST

Question

我的Spring Boot应用程序提供了几个endpoint。在本文之后，我想在默认情况下限制所有endpoint，以便它们需要通过JWT令牌进行身份验证。只有某些路径是公共的。我的理解是，中定义的所有路径。蚂蚁匹配器（公共资源）。permitAll（）将在没有任何身份验证的情况下“公开”。

这对于GET方法很好，但是当用POST命中同一个endpoint时，我会得到一个HTTP 403（禁止）。我不明白这是为什么。

这是我当前的安全配置：

@Configuration
@EnableGlobalMethodSecurity(prePostEnabled = true)
public class SecurityConfiguration extends WebSecurityConfigurerAdapter {

    private static final String[] PUBLIC_RESOURCES = {
            "/",
            "/user/login"
    };

    @Override
    protected void configure(final HttpSecurity httpSecurity) throws Exception {
        httpSecurity
                .antMatcher("/**").authorizeRequests()
                .antMatchers(PUBLIC_RESOURCES).permitAll()
                .anyRequest().authenticated();
    }
}

控制器：

@RestController
@RequestMapping(path = "user")
public class LoginController {

    @GetMapping
    public String get() {
        return "Hey, Joe (get)";
    }

    @PostMapping
    public String post() {
        return "Hey, Joe (post)";
    }
}

Answer 1

这可能是因为CSRF保护会影响所有改变服务器状态的请求（POST、PUT、DELETE等）。

您可以在此处阅读有关csrf的更多信息：

什么是CSRF？

如何在Spring Security中配置或禁用csrf。

我猜你想禁用它（我不推荐，因为这是一个安全功能）

如何在Spring Security中禁用csrf。

@Configuration
@EnableWebSecurity
public class WebSecurityConfig extends WebSecurityConfigurerAdapter {

    @Override
    protected void configure(HttpSecurity http) {
        http
            .csrf(csrf -> csrf.disable());
    }
}

我强烈建议打开Spring Security调试日志记录，日志会准确地告诉您请求被拒绝的原因。

应用属性

logging.level.org.springframework.security=DEBUG