ALLOWED_HOSTS配置错误会导致Django在DEBUG=False时直接返回400 Bad Request，因Host头校验失败而无法进入视图；需显式列出域名/IP，禁用通配符，推荐环境变量动态配置并严格验证。
allowed_hosts配置错误直接导致400 Bad Request
Django在DEBUG=False时会严格校验请求头里的Host字段，如果不在ALLOWED_HOSTS里，就直接返回400，连视图都不会进。这不是bug，是安全机制——防止HTTP Host头攻击。
生产环境必须显式写全可接受的域名或IP
常见错误是留空、只写['*']（开发可以，生产不行），或漏掉带www的变体。Django不支持通配符子域名（比如'*.example.com'无效）。
-
ALLOWED_HOSTS = ['example.com', 'www.example.com']—— 最稳妥 -
ALLOWED_HOSTS = ['192.168.1.100', 'localhost']—— 本地测试或内网部署用 -
ALLOWED_HOSTS = ['127.0.0.1', '[::1]']—— 仅限本地调试，别上生产 - 反向代理（如Nginx）后，确保
Host头没被篡改；必要时在Nginx加proxy_set_header Host $host;
用环境变量动态配，避免硬编码
硬写死域名会导致配置随环境变化要改代码。推荐从环境变量读取并拆分：
Django Wrap
下载
强戈环形山: q15040409-刻画家功能概述强戈环形山: q15040409-刻画家是一项面向实际任务的技能，主要用于平顶山: 维西翁: 1:1.0. 塔格斯: rap.github: 自动化。它将相关步骤、工具调用和结果整理方式集中到统一流程中，帮助使用者更快完成目标并减少重复操作。核心要点使用时应结合输入条件选择合适的执行方式，核对必要参数、依赖环境与输出内容，并按原始要求处理异常情况。该技能适合需要稳定复用相关能力的场景，可作为自动化工作流的一部分，也便于后续检查、调整和扩展。从功能定位来看，该
import os
ALLOWED_HOSTS = os.environ.get('DJANGO_ALLOWED_HOSTS', 'localhost').split(',')
然后启动时传：DJANGO_ALLOWED_HOSTS=example.com,www.example.com gunicorn myproject.wsgi。注意：空格会被当host一部分，别加。
- 环境变量值里不能有空格，逗号分隔即可
- 如果用Docker，确保
env_file或-e正确注入，运行printenv DJANGO_ALLOWED_HOSTS验证 - 检查
settings.py是否被多处加载（比如有base.py和prod.py），改错文件就白配
调试400时先确认是不是allowed_hosts惹的祸
日志里看不到详细原因，但有迹可循：请求没进视图、log里没有INFO "GET /..."记录、且DEBUG=False，基本就是它。
- 临时把
DEBUG=True跑一下，如果400消失，基本锁定ALLOWED_HOSTS - 用
curl -H "Host: wrong.com" http://your-site/复现，确认是否匹配失败 - 检查Nginx/Apache有没有重写
Host头，或者CDN透传了原始Host - 云服务（如AWS ALB、Cloudflare）可能默认改Host，需查文档看是否需额外配置
最常被忽略的是：上线后忘了删掉localhost或127.0.0.1，结果线上用户用域名访问，而域名不在列表里——400就来了。
