95%的CSRF验证失败源于三处错误：模板漏写{% csrf_token %}、CsrfViewMiddleware被注释或位置错误、AJAX未传X-CSRFToken头；修复即可解决。
95% 的 CSRF verification failed. Request aborted 错误，根本不是被攻击，而是模板漏写 {% csrf_token %}、CsrfViewMiddleware 被注释或位置错、AJAX 请求没传 X-CSRFToken 头 —— 修复这三处，基本就稳了。
POST 表单里没加 {% csrf_token %}
这是最常见原因。Django 要求所有发往本域的 POST（以及 PUT、DELETE）请求必须携带有效 CSRF 令牌，而模板里漏掉这个标签，后端就收不到校验依据。
- 必须在
<form method="post"></form>内部、任意<input>标签之前插入{% csrf_token %} - 不能写成
{% csrf_token %}放在<form></form>外面，也不能只靠 JS 动态插入 DOM —— 模板渲染时就得存在 - 如果用的是
render()（而不是HttpResponse直接返回字符串），RequestContext会自动提供csrf_token变量，{% csrf_token %}才能展开 - 错误示例：
<form method="post"><input name="email"></form>→ 缺 token，必 403 - 正确示例：
<form method="post">{% csrf_token %}<input name="email"></form>
CsrfViewMiddleware 被注释或中间件顺序错
django.middleware.csrf.CsrfViewMiddleware 是整个机制的执行者。它不在中间件链里，或者排错位置，token 就无法绑定 session，校验直接失败。
- 必须确保它在
SessionMiddleware之后、AuthenticationMiddleware之前 - 错误顺序：
SessionMiddleware→AuthenticationMiddleware→CsrfViewMiddleware→ 会导致 token 无法关联用户 session - 如果你用了
django-cors-headers，CorsMiddleware必须放在CsrfViewMiddleware之前，否则跨域预检可能干扰 token 读取 - 禁用它（比如注释掉）虽能绕过报错，但等于裸奔 —— 仅限本地调试，绝不可上生产
AJAX POST 请求没带 X-CSRFToken 头
前端用 fetch、axios 或 jQuery 发 POST，不会自动附带 cookie 里的 csrftoken，必须手动从 cookie 提取并塞进请求头。
立即学习“Python免费学习笔记（深入）”；
- 默认 cookie 名是
csrftoken，可通过CSRF_COOKIE_NAME配置修改，取值前先确认 - 不要把 token 放在 URL 参数或 request body 里（比如
data: {csrfmiddlewaretoken: 'xxx'}），既不安全也不被 Django 默认识别 - 标准做法是读 cookie 后设 header：
headers: {'X-CSRFToken': csrftoken}，Django 通过CSRF_HEADER_NAME（默认HTTP_X_CSRFToken）读取 - 若启用了
CSRF_USE_SESSIONS=True或CSRF_COOKIE_HTTPONLY=True，JS 就读不到 cookie —— 这时需设CSRF_COOKIE_HTTPONLY=False（仅当明确需要 JS 读取时）
生产环境部署后突然 403：域名/协议/代理配置不匹配
部署后出现 CSRF verification failed，通常是因为生产环境的域名、协议或代理配置与 Django 的安全设置不匹配，重点检查 CSRF_TRUSTED_ORIGINS 和 Cookie 安全选项。
- 先确认报错日志中的
Originheader 与实际访问域名是否一致 -
CSRF_TRUSTED_ORIGINS必须显式声明，且格式含协议前缀：['https://your-domain.com', 'https://www.your-domain.com'] - 如果站点用 HTTPS，务必设
CSRF_COOKIE_SECURE = True；若前端跨域调用且需SAMESITE=None，则CSRF_COOKIE_SECURE必须为True - Nginx/Apache 代理时，必须传递
X-Forwarded-Proto和Host头，否则 Django 误判协议类型导致校验失败 -
ALLOWED_HOSTS必须包含当前域名，否则请求在 CSRF 检查前就被拦截
最容易被忽略的是：CSRF token 的有效性依赖于 cookie 和表单字段值的一致性，而这个一致性又严格依赖中间件顺序、session 绑定、以及请求来源的可信判断 —— 不是加了 {% csrf_token %} 就万事大吉，任何一个环节断开，都会静默失败。
