Spring Boot REST API POST 401 未经授权

Question

这真的很奇怪，我确信我错过了一些东西。这是我的 spring 安全配置类：

@Configuration
@EnableWebSecurity
public class AppSecurityConfig extends WebSecurityConfigurerAdapter {

    @Autowired
    private DataSource dataSource;

    @Override
    protected void configure(AuthenticationManagerBuilder auth) throws Exception {

        auth.jdbcAuthentication().dataSource(dataSource).passwordEncoder(passwordEncoder())
                .usersByUsernameQuery(
                        "select username,password, enabled from user where username=?")
                .authoritiesByUsernameQuery(
                        "select username, authority from authorities where username=?");

    }

    @Override
    protected void configure(HttpSecurity http) throws Exception {
        http    .cors()
                .and()
                .authorizeRequests() // authorize
                .antMatchers("/task/*").permitAll()
                .antMatchers(HttpMethod.POST,"/task/*").permitAll()
                .anyRequest().authenticated() // all requests are authenticated
                .and()
                .httpBasic();
    }

    @Bean
    public PasswordEncoder passwordEncoder() {
        return new BCryptPasswordEncoder();
    }

}

因此，在Postman上，当我发送GET请求时，我会收到200 OK状态代码。但是当我点击POST请求时，我收到401 Unauthorized

更新 我已经发出了完全相同的 POST 请求，这次我得到了403 Forbiden ......真的很奇怪

这也是控制器代码：

@RestController
@RequestMapping("task")
@CrossOrigin("http://localhost:3000")
public class TaskController {

    @Autowired
    private TaskRepo taskRepo;
    //private TaskDAO taskDAO;

    @GetMapping("/list")
    public List<Task> getTasks(){
        return taskRepo.findAll();
    }

    @PostMapping("/create")
    public Task createTask(@RequestBody Task task) {
        Task savedTask = taskRepo.save(task);
        System.out.println("student id " + savedTask.getId());

        return savedTask;

    }

}

Answer 1

CSRF 保护在 Java 安全配置中默认启用，因此您无法通过修改 HTTP 方法（POST、PUT...）从外部域（如 Web 应用程序或 Postman）进行访问。默认情况下允许使用 GET 方法。

您可以使用类似于以下的代码禁用 CSRF 保护：

@Override
protected void configure(HttpSecurity http) throws Exception {
    http
      .csrf().disable();
}

感谢 Baeldung 在这篇文章中教给我这一点。