Django 4.0 移除默认 CSRF 令牌旋转如何影响旧版本部署？

首先需要澄清一个常见的技术误解：Django 4.0 并未移除 CSRF 令牌旋转（Token Rotation）机制。升级后出现 CSRF 报错，绝大多数情况是因为新版本强制要求配置 CSRF_TRUSTED_ORIGINS 且格式必须包含协议前缀，而非令牌逻辑变更。本文针对旧版本部署升级后的实际影响，提供明确的处理方案和验证步骤。

Django 4.0 CSRF 机制变更真相

Django 默认开启 CSRF 中间件保护，防止跨站请求伪造。在生产环境中，浏览器发送请求时会携带 Origin 或 Referer 头，Django 会核对这些头中的域名是否在信任列表内。

核心变更点：Django 4.0 及以上版本要求 CSRF_TRUSTED_ORIGINS 显式声明信任的源，且格式必须包含协议前缀（http:// 或 https://）。旧版本中允许仅写域名，新版本则严格校验协议。如果部署后域名变更、使用了负载均衡或反向代理，导致请求头中的来源信息与 Django 配置不一致，就会拦截请求并返回 403 Forbidden。

关于令牌旋转机制，Django 依然保留并在特定场景下使用，升级报错通常与此无关。更多细节可参考 Django 4.0 Release Notes。

生产环境安全配置检查清单

直接修改项目 settings.py 文件，找到 CSRF 相关配置项，将当前访问的域名和协议加入信任列表，同时检查允许的主机。

ALLOWED_HOSTS = [
    'your-domain.com',
    'www.your-domain.com'
]

CSRF_TRUSTED_ORIGINS = [
    'https://your-domain.com',
    'https://www.your-domain.com'
]

# HTTPS 环境建议配置
CSRF_COOKIE_SECURE = True
# 仅在当前域名下使用，不要随意设置为 None
CSRF_COOKIE_SAMESITE = 'Lax'

注意：如果站点被嵌入 iframe 或涉及跨域调用，需谨慎调整 CSRF_COOKIE_SAMESITE。若必须设置为 None，则必须同时设置 CSRF_COOKIE_SECURE = True，否则现代浏览器将拒绝发送 Cookie，导致登录态失效或安全漏洞。

验证与排查步骤

第一步：检查 ALLOWED_HOSTS
确保 settings.py 中的 ALLOWED_HOSTS 包含当前访问的域名。如果该项为空或不含当前域名，请求会在 CSRF 检查前被拒绝。

第二步：使用命令行快速检查
运行 Django 部署检查命令，查看是否有 CSRF 相关警告：

python manage.py check `--deploy`

第三步：模拟请求验证
使用 curl 命令模拟 POST 请求，观察响应状态码：

curl -v -X POST https://your-domain.com/login/ \
  -H "Origin: https://your-domain.com" \
  -H "Referer: https://your-domain.com/login/" \
  -b "csrftoken=your_token_here" \
  -d "csrfmiddlewaretoken=your_token_here"

确认请求状态码不再是 403 Forbidden。同时检查服务器日志，确认没有 CsrfViewMiddleware 相关的拒绝记录。

常见坑与高风险配置警告

• 缺少协议前缀：CSRF_TRUSTED_ORIGINS 必须写 https://example.com 而不是 example.com。
• 前后端分离 Cookie 丢失：前端 axios 实例未设 withCredentials: true，导致 Cookie 不发。
• 请求头名称错误：AJAX 请求头必须是 X-CSRFToken，值来自 Cookie 中 csrftoken=xxx 的 xxx 部分。
• 反向代理协议误判：Nginx 未传递 X-Forwarded-Proto，导致 Django 误判为 HTTP 而拒绝 HTTPS 请求。需在 Nginx 配置中添加 proxy_set_header X-Forwarded-Proto $scheme;。
• 高风险 Samesite 配置：严禁在生产环境无 HTTPS 保护的情况下设置 CSRF_COOKIE_SAMESITE = None，这将导致 Cookie 可通过 HTTP 明文传输，存在会话劫持风险。

参考来源

• Django 官方文档 - Cross Site Request Forgery protection
• Django 4.0 Release Notes
• CSRF_TRUSTED_ORIGINS 配置说明