Springboot 项目使用GET、POST方法正常，但是使用PUT和DELETE 就报403

在 Spring Boot 项目中，GET 和 POST 方法正常工作，但 PUT 和 DELETE 请求返回 HTTP 403 Forbidden 错误，通常与 Spring Security 的默认配置有关。

Spring Security 默认启用了 CSRF（跨站请求伪造）保护，而这种保护机制特别影响到非幂等的 HTTP 方法，如 PUT 和 DELETE。这是因为这些方法可能会更改服务器上的资源状态，因此更需要确保请求的真实性。

以下是解决此问题的一些步骤：

1. 确认 CSRF 配置

如果你的应用确实不需要 CSRF 保护（例如，它是一个纯 API 服务，不涉及浏览器用户交互），你可以选择禁用 CSRF 保护。这可以通过自定义 Spring Security 配置来实现：

@EnableWebSecurity 
public class WebSecurityConfig extends WebSecurityConfigurerAdapter { 
    @Override 
    protected void configure(HttpSecurity http) throws Exception {
             http .csrf().disable() // 禁用CSRF保护 // ... 其他安全配置 ... ; 
    } 
}

请注意，禁用 CSRF 保护会降低应用程序的安全性，应谨慎考虑这一决定。

2. 包含 CSRF Token

如果不能或不想禁用 CSRF 保护，则必须确保所有 PUT 和 DELETE 请求都包含了有效的 CSRF 令牌。对于基于表单的提交，Spring Security 会自动处理 CSRF 令牌；但对于 AJAX 请求或 RESTful API 调用，你需要手动包含 CSRF 令牌。

通过 HTTP Header：将 CSRF 令牌作为请求头发送，通常是 X-CSRF-TOKEN 或 X-XSRF-TOKEN。

通过 URL 参数：将 CSRF 令牌添加为查询参数的一部分。

3. 检查权限设置

确认你的 Spring Security 配置正确地授予了用户对 PUT 和 DELETE 方法的访问权限。例如，使用 @PreAuthorize 注解或者在全局配置中指定哪些角色可以执行这些操作：

@Override 
protected void configure(HttpSecurity http) throws Exception { 
    http.authorizeRequests().antMatchers(HttpMethod.PUT, "/api/**").hasRole("ADMIN") // 只允许具有 ADMIN 角色的用户执行 PUT 请求 .antMatchers(HttpMethod.DELETE, "/api/**").hasRole("ADMIN") // 同上，针对 DELETE 请求 // ... 其他安全规则 ... ; 

}

4. 确认请求格式和内容类型

有时，403 错误也可能是由于请求的内容类型不匹配导致的。确保客户端发送的数据格式（例如 JSON、XML）与服务器预期的一致，并且设置了正确的 Content-Type 和 Accept 头。

5. 检查日志文件

最后，查看应用程序的日志文件以获取更多关于 403 错误的信息。日志可以帮助你确定是否是因为认证失败、权限不足还是其他原因引起的错误。根据上述建议进行检查和调整后，应该能够解决 PUT 和 DELETE 请求遇到的 403 错误。如果问题仍然存在，请提供更多的上下文信息以便进一步诊断。