sping-security with sping-boot，自定义登录页面，错误403

Question

我使用spring-boot和spring-security构建项目，使用自定义登录页面404次错误，我想做的是将登录页面和项目分开，并在登录页面上使用Ajax URL对发送的用户信息进行身份验证，但总是错误403，我更改了Spring boot安全配置的配置信息但没有具体效果。以下代码：

@Override
public void configure(HttpSecurity http) throws Exception{
    http.authorizeRequests()
            .anyRequest().authenticated()
            .antMatchers("/index.html").permitAll()
            .and()
            .formLogin().usernameParameter("username")
            .passwordParameter("password")
            .loginProcessingUrl("/login")
            .loginPage("/login")
            .failureUrl("/login?error")
            .permitAll()
            .and()
            .logout().permitAll();
}

发送帖子url:localhost:8888/登录参数：用户名、密码响应：403

错误消息：

此应用程序没有 /error的显式映射，因此您将其视为后备程序。
出现意外错误（type=禁止，status=403）。
未找到预期的csrf令牌。您的会话过期了吗？

Answer 1

您必须将post配置为包含来自Spring Security的csrf令牌。您必须在POST请求中设置标头参数“X-CSRF-TOKEN”。示例POST请求：

$.ajax({
    type: "POST",
    beforeSend: function (request)
    {
        request.setRequestHeader("X-CSRF-TOKEN", "${_csrf.token}");
    },

    ///...

});