使用 Nginx 和 Gunicorn 在 Django 中出现奇怪的 CSRF 错误

Question

背景

当我尝试访问我的 Django 管理面板时，我得到了Forbidden (403) CSRF verification failed. Request aborted.，即使我禁用了 CSRF 中间件。这会影响在不同位置使用不同浏览器的所有用户。我已经按照步骤修复了stackoverflow中几个问题的错误，但仍然相同。这已经让我死了好几个星期了。

问题

我将 https 与 Cloudflare（免费计划）一起使用，但如果我停用 https，此错误仍然存​​在。这发生在mydomain.com/admin

已知事实

1. 我正在使用 Django 2.0 和 gunicorn 19.0
2. 我检查了浏览器的 cookie
3. 我试过删除django.middleware.csrf.CsrfViewMiddleware
4. 这仅发生在 Django 管理仪表板中，当启用 CSRF 中间件时，另一个 POST 或 GET 表单可以正常工作。
5. 我已登录到我的 Django Admin 仪表板，如果我注销，我可以再次登录而没有问题，但如果我从另一个地方尝试，或者与另一个用户一起尝试，问题再次出现。
6. Gunicorn 配置是默认配置。

配置文件

Settings.py

CSRF_TRUSTED_ORIGINS = ['.domain.com']
CSRF_COOKIE_DOMAIN = ['.domain.com', '127.0.0.1']
CSRF_COOKIE_SECURE = True
ALLOWED_HOSTS = ['127.0.0.1', 'domain.com', 'www.domain.com', '104.336.44.153', '.domain.com']

MIDDLEWARE = [
 'django.middleware.csrf.CsrfViewMiddleware',
 'django.middleware.security.SecurityMiddleware',
 'whitenoise.middleware.WhiteNoiseMiddleware',
 'django.contrib.sessions.middleware.SessionMiddleware',
 'django.middleware.common.CommonMiddleware',
 'django.contrib.auth.middleware.AuthenticationMiddleware',
 'django.contrib.messages.middleware.MessageMiddleware',
 'django.middleware.clickjacking.XFrameOptionsMiddleware',
]

Nginx

server {
    server_name domain.com;

    access_log off;

    location /static {
        alias /opt/myenv/myenv/static/;
    }

    location /descargas/dir/ {
        alias /opt/myenv/myenv/dir/;
    }



    location / {
        proxy_pass http://127.0.0.1:8000;
        proxy_set_header X-Forwarded-Host $server_name;
        proxy_set_header X-Real-IP $remote_addr;
        add_header P3P 'CP="ALL DSP COR PSAa PSDa OUR NOR ONL UNI COM NAV"';
    }
}

请帮忙！谢谢阅读。

Answer 1

CSRF cookie 是由CsrfViewMiddleware 设置的，所以你应该保留它。

我会尝试更改您的MIDDLEWARE 订购：

MIDDLEWARE = [
 'django.middleware.security.SecurityMiddleware', # THE FIRST
 'django.contrib.sessions.middleware.SessionMiddleware',
 'django.middleware.common.CommonMiddleware',
 'django.middleware.csrf.CsrfViewMiddleware',
 'whitenoise.middleware.WhiteNoiseMiddleware',
 'django.contrib.auth.middleware.AuthenticationMiddleware',
 'django.contrib.messages.middleware.MessageMiddleware',
 'django.middleware.clickjacking.XFrameOptionsMiddleware',
]