当我这样配置我的安全性时：

httpSecurity
        .anonymous()
            .and()
        .authorizeRequests()
            .antMatchers("/**/mes-actus/**").authenticated()
            .anyRequest().permitAll()
            .and()
        // make sure we use stateless session; session won't be used to
        // store user's state.
        .addFilterBefore(headerUserRequestFilter, UsernamePasswordAuthenticationFilter.class);
}

它仅对包含以下内容的路由进行身份验证： mes-actus 允许所有其他人，那好！
但当我添加此说明时： .cors().and().csrf().disable() 然后，它要求对所有人进行身份验证，没有例外。
换句话说 .antMatchers("/**/mes-actus/**").authenticated() 被忽略了。
如果我删除。 cors().and().csrf().disable() 我得了403分