SpringBoot 与 Spring Security整合，出现POST请求403

最新推荐文章于 2025-01-14 18:00:01 发布

鲲鹏飞九万里

最新推荐文章于 2025-01-14 18:00:01 发布

阅读量4.1k

点赞数 2

CC 4.0 BY-SA版权

分类专栏： Spring 文章标签： Spring security

本文链接：https://blog.youkuaiyun.com/hefrankeleyn/article/details/90109597

48 篇文章

订阅专栏

本文探讨了在SpringBoot与SpringSecurity整合时遇到的POST请求403问题，解析了SpringSecurity3.2默认开启的CSRF防护机制，并提供了在Thymeleaf和JSP模板中正确处理CSRFtoken的方法。

摘要生成于 C知道，由 DeepSeek-R1 满血版支持，前往体验 >

近日在学习SpringBoot与Spring Security整合，遇到post请求403的问题：

Spring Boot与Spring Security整合遇到的问题

最初调试该问题的时候，去到SecurityConfig.java 中配置 POST请求, 发现并不奏效：

http.authorizeRequests()
                .antMatchers(HttpMethod.POST, "/readingList/**").hasRole("READER")

结合《Spring in Action》，最终查明了原因：

从Spring Security3.2 开始，默认会启用CSRF防护。它将会拦截状态变化的请求（例如：非GET、HEAD、OPTIONS和TRACE的请求）并检查CSRF token。

因此，想要正确地提交POST请求，需要在表单中添加隐藏的CSRF token标签

CSRF（cross-site request forget）：来源于其他站点的POST请求。

如果使用Thymeleaf作为页面模板，只要<form>标签action属性中添加了Thymeleaf命名前缀，那么就会自动生成一个"_csrf”隐藏个域，如：

<form method="post" th:action="@{|/readingList/${reader}|}">

thymeleaf自动生成_scrf

可以手动写：

更好的方式是使用Spring的标签绑定标签：<sf:form/>