Django前后端分离怎么处理CSRF_Python配置信任跨域请求白名单-Python教程-PHP中文网

Django CSRF不可禁用，必须协同配置CORS白名单、凭证传递与X-CSRFToken同步：禁用CsrfViewMiddleware或滥用@csrf_exempt将导致CSRF防护失效；CORS_ALLOWED_ORIGINS须精确到协议+域名+端口；前端需提取cookie中csrftoken并设X-CSRFToken请求头，且CORS_ALLOW_CREDENTIALS与CSRF_COOKIE_SECURE必须环境匹配。

django前后端分离怎么处理csrf_python配置信任跨域请求白名单

前后端分离下，Django 的 CSRF 不能靠“关掉”来解决，必须配合跨域白名单 + 凭证传递 + Token 同步三者协同；只配 CORS_ALLOW_ALL_ORIGINS = True 或只加 @csrf_exempt 在生产环境等于裸奔。

为什么不能直接禁用 CSRF 中间件或全局加 `@csrf_exempt`

禁用 django.middleware.csrf.CsrfViewMiddleware 会让所有 POST/PUT/DELETE 请求失去防护，攻击者可伪造表单提交、修改用户资料甚至提权；而对单个视图加 @csrf_exempt 虽能绕过校验，但会同时丢掉 session 关联（尤其带 login 或 auth 的接口），且无法区分哪些请求真需要豁免。真实项目里，CSRF 和 CORS 是两个独立机制：前者防伪造请求，后者管浏览器放不放行跨域响应头——二者必须共存，不能互相替代。

`CORS_ALLOWED_ORIGINS` 白名单必须精确，不能写 `http://` 或 `['']`

CORS_ORIGIN_WHITELIST 已在 django-cors-headers ≥4.0 版本中废弃，必须改用 CORS_ALLOWED_ORIGINS。这个列表里的每个条目必须是完整协议 + 域名 + 端口（开发时常见错误是漏掉端口）：

'http://localhost:5173'（Vite 默认端口）
'http://127.0.0.1:3000'（Create React App）
'https://yourapp.com'（生产域名，不含路径）

写成 'http://*' 或 ['*'] 会导致 CORS_ALLOW_CREDENTIALS = True 失效（浏览器直接拒绝携带 Cookie 的请求），且 Django 会静默忽略该配置——你看到的“好像能通”，其实是 OPTIONS 预检通过了，但后续 POST 仍 403。

前端必须同步传 `X-CSRFToken`，且后端要确保 Cookie 可读

Vue/React 发起非 GET 请求时，需从 document.cookie 提取 csrftoken 值并塞进请求头。关键点有三个：

Python Pep Authoring

依据官方 python/peps仓库规则起草、审阅、编辑或准备 Python 改进提案（PEP），用于处理 PEP 文本和元数据头部。

下载

Django 必须返回带 SameSite=None; Secure 的 Cookie（仅 HTTPS 生产环境）或开发时设 SESSION_COOKIE_SAMESITE = 'Lax'（默认）
前端 axios 实例要设 withCredentials: true，否则 Cookie 不发
请求头必须是 X-CSRFToken（不是 X-CSRF-Token 或 csrf-token），值来自 Cookie 中 csrftoken=xxx 的 xxx 部分

示例（Vue 3 setup script）：

const csrfToken = document.cookie.split('csrftoken=').pop().split(';')[0]
axios.post('/api/login/', { username, password }, {
  headers: { 'X-CSRFToken': csrfToken }
})

`CORS_ALLOW_CREDENTIALS` 和 `CSRF_COOKIE_SECURE` 必须匹配

这个组合最容易踩坑：如果前端走 HTTPS，但 Django 没配 CSRF_COOKIE_SECURE = True，浏览器就不会发送 CSRF Cookie，导致前端取不到 token；反之，若开了 CSRF_COOKIE_SECURE 却用 HTTP 访问前端（如 http://localhost:5173），Cookie 直接被丢弃。正确配对逻辑是：

开发环境（HTTP 前端）：CSRF_COOKIE_SECURE = False，CORS_ALLOW_CREDENTIALS = True
生产环境（HTTPS 前端）：CSRF_COOKIE_SECURE = True，SESSION_COOKIE_SECURE = True，且 Nginx/Apache 需转发 X-Forwarded-Proto: https

漏掉任一环，都会表现为“OPTIONS 成功，POST 403”，且控制台看不到明显报错——问题藏在 Cookie 生命周期里，而不是 CORS 头本身。