我也遇到了同样的问题。我使用Thymeleaf和Sping Boot ，当我试图在表单中发布数据时，遇到了CSRF令牌问题。
以下是我的工作解决方案：
1.添加此隐藏输入：
<input type="hidden" th:name="${_csrf.parameterName}" th:value="${_csrf.token}" />
1.在WebSecurityConfig（它扩展了WebSecurityConfigurerAdapter）中，添加一个方法：

private CsrfTokenRepository csrfTokenRepository() 
{ 
    HttpSessionCsrfTokenRepository repository = new HttpSessionCsrfTokenRepository(); 
    repository.setSessionAttributeName("_csrf");
    return repository; 
}

然后在方法configure()中添加代码：

@Override
 protected void configure(HttpSecurity http) throws Exception {
     http.csrf()
     .csrfTokenRepository(csrfTokenRepository())

我花了很多时间在这个问题上。希望它能帮助有同样问题的人。

如果你一定要禁用它...
在Spring Security 4中，当使用XML配置时，CSRF is enabled by default。以前它只在基于Java的配置中默认启用。
根据Spring Security文档的第14.4.2节：
从Spring Security 4.0开始，CSRF保护默认通过XML配置启用。如果您想禁用CSRF保护，可以在下面看到相应的XML配置。

<http>
   ...
   <csrf disabled="true"/>
   ...
</http>

禁用CSRF保护听起来是个坏主意，不是吗？
如果你使用Spring的Form Tag库，CSRF令牌将被自动包含。它还将HTML转义表单元素值，这使你的站点对XSS更安全，更正确。

<%@ taglib uri="http://www.springframework.org/tags/form" prefix="form" %> 

<form:form>
  <form:input...
</form:form>

否则，将此添加到您的表单中：

<input type="hidden" name="${_csrf.parameterName}" value="${_csrf.token}"/>

收件人：@St.Antario，请使用此代码在代码中启用CSRF

@Configuration
public class WebSecurityConfig extends WebSecurityConfigurerAdapter {

    @Override
    protected void configure(HttpSecurity http) throws Exception {
        http
                .antMatcher("*/*").authorizeRequests()
                .antMatchers("/", "/login**").permitAll()
                .anyRequest().authenticated()
                .and().csrf().csrfTokenRepository(csrfTokenRepository())
                .and().addFilterAfter(csrfHeaderFilter(), SessionManagementFilter.class);
    }

    private Filter csrfHeaderFilter() {
        return new OncePerRequestFilter() {

            @Override
            protected void doFilterInternal(HttpServletRequest request,
                                            HttpServletResponse response,
                                            FilterChain filterChain) throws ServletException, IOException {

                CsrfToken csrf = (CsrfToken) request.getAttribute(CsrfToken.class.getName());
                if (csrf != null) {
                    Cookie cookie = WebUtils.getCookie(request, "XSRF-TOKEN");
                    String token = csrf.getToken();
                    if (cookie == null || token != null
                            && !token.equals(cookie.getValue())) {

                        // Token is being added to the XSRF-TOKEN cookie.
                        cookie = new Cookie("XSRF-TOKEN", token);
                        cookie.setPath("/");
                        response.addCookie(cookie);
                    }
                }
                filterChain.doFilter(request, response);
            }
        };
    }

    private CsrfTokenRepository csrfTokenRepository() {
        HttpSessionCsrfTokenRepository repository = new HttpSessionCsrfTokenRepository();
        repository.setHeaderName("X-XSRF-TOKEN");
        //repository.setSessionAttributeName(("X-XSRF-TOKEN"));
        return repository;
    }
}

spring-security.xml

<beans:beans xmlns="http://www.springframework.org/schema/security"
             xmlns:xsi="http://www.w3.org/2001/XMLSchema-instance"
             xmlns:beans="http://www.springframework.org/schema/beans"
             xsi:schemaLocation="
    http://www.springframework.org/schema/security 
    http://www.springframework.org/schema/security/spring-security.xsd
    http://www.springframework.org/schema/beans 
    http://www.springframework.org/schema/beans/spring-beans.xsd">

    <http pattern="/resources/**" security="none" />

    <http use-expressions="true">
        <intercept-url pattern="/login*" access="isAnonymous()" />
        <intercept-url pattern="/**" access="isAuthenticated()"/>
        <form-login
            login-page="/login"
            default-target-url="/home"
            authentication-failure-url="/login?error=true" /> 
        <logout
            logout-success-url="/login"
            delete-cookies="JSESSIONID" />
    </http>
    <authentication-manager>
        <authentication-provider>
            <user-service>
                <user name="carlos" password="123" authorities="ROLE_USER" />
            </user-service>
        </authentication-provider>
    </authentication-manager>
</beans:beans>

web.xml

<context-param>
    <param-name>contextConfigLocation</param-name>
    <param-value>/WEB-INF/applicationContext.xml, /WEB-INF/spring-security.xml</param-value>
</context-param>

添加添加jsp登录

<%@page session="true"%>

并隐藏输入：

<input type="hidden" name="${_csrf.parameterName}" value="${_csrf.token}" />

您的登录页面名是什么？是否以.jsp结尾
如果登录页面不是以.jsp结尾，Spring框架就不会计算JSP或EL表达式

问题：

在Sping Boot 2.7中，csrf默认为DISABLED。
在Sping Boot 3.x中，csrf默认为ENABLED。
溶液

@EnableWebFluxSecurity
@Configuration
public class ReactiveWebfluxSecurityConfig {

  @Bean
  public SecurityWebFilterChain springSecurityFilterChain(ServerHttpSecurity http) {
    http.csrf(ServerHttpSecurity.CsrfSpec::disable);
    return http.build();
  }
}

备注

不要忘记要像在Spring 3.0中那样将@Configuration添加到@EnableWebFluxSecurity，必须像我在上面的代码片段中所做的那样显式添加。