我将我的项目升级到了Sping Boot 3和Spring Security 6，但是自从升级以来，CSRF保护不再起作用。
我正在使用以下配置：

@Bean
public SecurityFilterChain securityFilterChain(HttpSecurity http) throws Exception {
    return http
        .authorizeHttpRequests(authorize -> authorize
            .anyRequest().authenticated())
        .httpBasic(withDefaults())
        .sessionManagement(session -> session
            .sessionCreationPolicy(SessionCreationPolicy.ALWAYS))
        .csrf(csrf -> csrf
            .csrfTokenRepository(CookieCsrfTokenRepository.withHttpOnlyFalse()))
        .build();
}

@Bean
public UserDetailsService userDetailsService() {
     UserDetails user = User.builder().username("user").password("{noop}test").authorities("user").build();
     return new InMemoryUserDetailsManager(user);
}

在我的网页上，只有一个按钮：

<button id="test">Test CSRF</button>

以及以下JavaScript代码：

document.querySelector("#test").addEventListener('click', async function() {
  console.log('Clicked');
  // This code reads the cookie from the browser
  // Source: https://stackoverflow.com/a/25490531
  const csrfToken = document.cookie.match('(^|;)\\s*XSRF-TOKEN\\s*=\\s*([^;]+)')?.pop();
  const result = await fetch('./api/foo', {
    method: 'POST',
    headers: {
      'X-XSRF-Token': csrfToken
    }
  });
  console.log(result);
});

在Sping Boot 2.7.x中，此设置工作正常，但如果我将项目升级到Spring Boot 3和Spring Security 6，则会出现403错误，并显示以下调试日志：

15:10:51.858 D         o.s.security.web.csrf.CsrfFilter: Invalid CSRF token found for http://localhost:8080/api/foo
15:10:51.859 D   o.s.s.w.access.AccessDeniedHandlerImpl: Responding with 403 status code

我的猜测是这与#4001的改变有关。但是我不明白我必须改变我的代码或者我是否必须XOR一些东西。
我确实检查了这是否是由于CSRF令牌的新延迟加载，但即使我第二次单击该按钮（并验证是否设置了XSRF-TOKEN cookie），它仍然不起作用。