Делаю чат на вебсокетах, имею такую конфигурацию:
override fun configureMessageBroker(config: MessageBrokerRegistry) {
    config.enableSimpleBroker("/user")
    config.setApplicationDestinationPrefixes("/app")
    config.setUserDestinationPrefix("/user")
}
override fun registerStompEndpoints(registry: StompEndpointRegistry) {
    registry
        .addEndpoint("/ws")
        .setAllowedOriginPatterns("*")
        .withSockJS()
}
Если захожу на 
localhost:8080/ws получаю Welcome to SockJS.
Если пробую через постман, то ЛЮБОЙ запрос возвращает 403.