Django中{% csrf_token %}失效主因是render未传request导致上下文缺失，必须用render(request, ...)而非render_to_string；AJAX需手动设X-CSRFToken头，且CSRF_COOKIE_SECURE等配置须按环境严格区分。
CSRF防护在Django中默认启用，但配置错一处、漏写一个标签、或误设一个参数，整个防护就等于没开——403错误不是安全生效的标志，而是你已经踩坑的信号。
为什么 render 没传 request 就导致 {% csrf_token %} 失效
Django 的 {% csrf_token %} 不是静态字符串，它依赖 request 对象注入上下文里的 csrf_token 变量。漏传 request，模板里就啥也不渲染。
- 错误写法：
return HttpResponse(render_to_string("form.html", {"data": obj}))——render_to_string默认不带RequestContext，{% csrf_token %}渲染为空 - 正确写法：用
render(request, "form.html", {...})；或手动加RequestContext（不推荐） - 验证方式：直接查看页面源码，确认是否存在类似
的字段 - 类视图中若重写了
get_context_data却没调super()，也可能导致csrf_token缺失
fetch 发 POST 总 403，但 jQuery.ajax 没事？
因为 jQuery 默认读取 csrftoken Cookie 并自动设 X-CSRFToken 请求头；fetch 不做这事，得你手动补全。
- 前端必须从
document.cookie提取值：document.cookie.match(/csrftoken=([^;]+)/)?.[1]（注意默认 cookie 名是csrftoken，不是csrf_token） - 请求头必须设为：
headers: {'X-CSRFToken': token}；不能塞进body当表单字段（容易遗漏、难统一） - 更稳方案：后端在模板里埋
，前端用document.querySelector('meta[name="csrf-token"]').getAttribute('content')读取 - 若启用了
CSRF_USE_SESSIONS = True，token 存 session 里，JS 读不到——这时必须提供独立 API（如/api/csrf/）返回 token
settings.py 里哪些 CSRF 配置动不得、哪些必须改
多数问题出在几个关键配置项的组合上，尤其本地开发和生产环境混用时。
-
CSRF_COOKIE_SECURE = True：生产环境必须为True，否则 HTTPS 下浏览器不发该 cookie；但本地 HTTP 开发时设成True，cookie 直接被丢弃 → 建议用环境变量控制：CSRF_COOKIE_SECURE = os.getenv("DEBUG", "False") == "False" -
CSRF_COOKIE_HTTPONLY = False：必须为False（Django 默认就是），否则 JS 读不到 token；手抖改成True是常见低级错误 -
CSRF_COOKIE_SAMESITE = 'Lax'：默认值安全，别强行改成'None'；若真需'None'，必须同步设CSRF_COOKIE_SECURE = True，且只在 HTTPS 环境下有效 -
CSRF_TRUSTED_ORIGINS：反向代理、Vue Router history 模式、或跨子域调试时，referer 校验失败会 403；加白名单而非关防护，例如：['https://app.example.com', 'https://staging.example.com']
@csrf_exempt 到底能不能用、在哪用
@csrf_exempt 不是“可选开关”，而是紧急逃生门；滥用等于主动拆墙。
- 登录接口加
@csrf_exempt？危险：攻击者可伪造 POST 到/login/，批量撞库或重放凭证 - Webhook 或支付回调加
@csrf_exempt？没必要：服务端到服务端调用本就不带浏览器 cookie，CSRF 中间件压根不校验 → 此时应做签名验签，而非关防护 - 真正需要豁免的场景极少：比如老旧嵌入式设备发请求，无法控制请求头；或内部系统对接，对方技术栈完全不可控
- 若只是想“局部豁免”，优先用
@csrf_protect包裹特定逻辑，而不是全局或视图级关掉
最常被忽略的其实是 referer 校验和 cookie 传输链的断裂：HTTPS + 反向代理 + SameSite + CSRF_TRUSTED_ORIGINS 配置不匹配，会导致合法请求被拒；这时候调参数比关中间件靠谱得多。
Python免费学习笔记（深入）：立即使用
在学习笔记中，你将探索 Python 的核心概念和高级技巧！
