Django CSRF不可禁用，必须协同配置CORS白名单、凭证传递与X-CSRFToken同步：禁用CsrfViewMiddleware或滥用@csrf_exempt将导致CSRF防护失效；CORS_ALLOWED_ORIGINS须精确到协议+域名+端口；前端需提取cookie中csrftoken并设X-CSRFToken请求头，且CORS_ALLOW_CREDENTIALS与CSRF_COOKIE_SECURE必须环境匹配。
前后端分离下，Django 的 CSRF 不能靠“关掉”来解决，必须配合跨域白名单 + 凭证传递 + Token 同步三者协同；只配 CORS_ALLOW_ALL_ORIGINS = True 或只加 @csrf_exempt 在生产环境等于裸奔。
为什么不能直接禁用 CSRF 中间件或全局加 @csrf_exempt
禁用 django.middleware.csrf.CsrfViewMiddleware 会让所有 POST/PUT/DELETE 请求失去防护，攻击者可伪造表单提交、修改用户资料甚至提权；而对单个视图加 @csrf_exempt 虽能绕过校验，但会同时丢掉 session 关联（尤其带 login 或 auth 的接口），且无法区分哪些请求真需要豁免。真实项目里，CSRF 和 CORS 是两个独立机制：前者防伪造请求，后者管浏览器放不放行跨域响应头——二者必须共存，不能互相替代。
CORS_ALLOWED_ORIGINS 白名单必须精确，不能写 http://* 或 ['*']
CORS_ORIGIN_WHITELIST 已在 django-cors-headers ≥4.0 版本中废弃，必须改用 CORS_ALLOWED_ORIGINS。这个列表里的每个条目必须是完整协议 + 域名 + 端口（开发时常见错误是漏掉端口）：
-
'http://localhost:5173'（Vite 默认端口） -
'http://127.0.0.1:3000'（Create React App） -
'https://yourapp.com'（生产域名，不含路径）
写成 'http://*' 或 ['*'] 会导致 CORS_ALLOW_CREDENTIALS = True 失效（浏览器直接拒绝携带 Cookie 的请求），且 Django 会静默忽略该配置——你看到的“好像能通”，其实是 OPTIONS 预检通过了，但后续 POST 仍 403。
立即学习“Python免费学习笔记（深入）”；
强戈环形山: q15040409-刻画家功能概述强戈环形山: q15040409-刻画家是一项面向实际任务的技能，主要用于平顶山: 维西翁: 1:1.0. 塔格斯: rap.github: 自动化。它将相关步骤、工具调用和结果整理方式集中到统一流程中，帮助使用者更快完成目标并减少重复操作。核心要点使用时应结合输入条件选择合适的执行方式，核对必要参数、依赖环境与输出内容，并按原始要求处理异常情况。该技能适合需要稳定复用相关能力的场景，可作为自动化工作流的一部分，也便于后续检查、调整和扩展。从功能定位来看，该
前端必须同步传 X-CSRFToken，且后端要确保 Cookie 可读
Vue/React 发起非 GET 请求时，需从 document.cookie 提取 csrftoken 值并塞进请求头。关键点有三个：
- Django 必须返回带
SameSite=None; Secure的 Cookie（仅 HTTPS 生产环境）或开发时设SESSION_COOKIE_SAMESITE = 'Lax'（默认） - 前端 axios 实例要设
withCredentials: true，否则 Cookie 不发 - 请求头必须是
X-CSRFToken（不是X-CSRF-Token或csrf-token），值来自 Cookie 中csrftoken=xxx的 xxx 部分
示例（Vue 3 setup script）：
const csrfToken = document.cookie.split('csrftoken=').pop().split(';')[0]
axios.post('/api/login/', { username, password }, {
headers: { 'X-CSRFToken': csrfToken }
})
CORS_ALLOW_CREDENTIALS 和 CSRF_COOKIE_SECURE 必须匹配
这个组合最容易踩坑：如果前端走 HTTPS，但 Django 没配 CSRF_COOKIE_SECURE = True，浏览器就不会发送 CSRF Cookie，导致前端取不到 token；反之，若开了 CSRF_COOKIE_SECURE 却用 HTTP 访问前端（如 http://localhost:5173），Cookie 直接被丢弃。正确配对逻辑是：
- 开发环境（HTTP 前端）：
CSRF_COOKIE_SECURE = False，CORS_ALLOW_CREDENTIALS = True - 生产环境（HTTPS 前端）：
CSRF_COOKIE_SECURE = True，SESSION_COOKIE_SECURE = True，且 Nginx/Apache 需转发X-Forwarded-Proto: https
漏掉任一环，都会表现为“OPTIONS 成功，POST 403”，且控制台看不到明显报错——问题藏在 Cookie 生命周期里，而不是 CORS 头本身。
