Весенняя охрана получает 403, хотя разрешение всё есть?

Question

Я работаю над весенним проектом с безопасностью, используя @ EnableWebSecurity
при включении csrf я получаю 403
хотя все должно быть принято: antMatchers ("/ **"). allowAll () есть:

Не работает:

    http.authorizeRequests().antMatchers("/**").permitAll();

это ошибка:

{
    "timestamp": "2019-04-18T13:43:43.098+0000",
    "status": 403,
    "error": "Forbidden",
    "message": "Forbidden",
    "path": "/api/checkPrinter"
}

Рабочая:

    http.csrf().disable();
    http.authorizeRequests().antMatchers("/**").permitAll();

Мы все еще хотим иметь защиту CSRF,
Что я делаю не так?