我对Vaadin并不熟悉,但这篇文章 https://vaadin.com/blog/-/blogs/filter-based-spring-security-in-vaadin-applications 表明Vaadin已经提供了CSRF保护,所以你可以在Spring中禁用它
@Override protected void configure(final HttpSecurity httpSecurity) throws Exception { httpSecurity.csrf().disable(); }
在您的SecurityConfig中。