comparei meu código com o repositório do professor e está tudo certo, teoricamente.
Se puderem me ajudar, este é o link do repositório: https://github.com/apontes77/kotlin-springboot
Basicamente, ao fazer o POST em /login, passando o body com username e password, obtenho 403 FORBIDDEN como resposta.