使用Airflow HTTP Operator调用Django接口遇403 Forbidden问题求助

1. 核对请求Host头与Django的allowed_hosts #

Django的allowed_hosts会严格校验请求的Host头，Postman可能自动使用了正确的域名/IP，而Airflow容器内调用时可能用了内部域名、容器名或私有IP，这些未被加入allowed_hosts就会触发403。

• 查看Django日志获取请求实际携带的Host值，将其添加到settings.py中：

  ALLOWED_HOSTS = ["your-django-domain", "172.17.0.3", "django-service"]
  

2. 确认@cors_exempt装饰器的正确使用 #

• 函数视图需直接在视图上添加装饰器：

  from django.views.decorators.csrf import csrf_exempt
  from django.views.decorators.http import require_POST
  
  @csrf_exempt
  @cors_exempt
  @require_POST
  def my_api_view(request):
      # 视图逻辑
  

• 类视图需用method_decorator包裹：

  from django.utils.decorators import method_decorator
  from django.views import View
  
  @method_decorator(cors_exempt, name='dispatch')
  class MyApiView(View):
      # 类视图逻辑
  

• 若同时使用django-cors-headers中间件，需确认中间件顺序，避免覆盖@cors_exempt的效果。

3. 处理CSRF验证拦截 #

Django默认对POST请求做CSRF校验，Airflow请求若未携带CSRF Token会被拒绝：

• 直接在视图上添加@csrf_exempt装饰器（与@cors_exempt配合使用）；
• 或在Airflow请求中先获取CSRF Token，再携带Token发起请求。

4. 检查Airflow HTTP Operator的请求配置 #

• 确认请求方法、URL是否与API要求一致，避免拼写错误；
• 为POST请求设置正确的Content-Type头，Django通常要求application/json：

  from airflow.providers.http.operators.http import SimpleHttpOperator
  import json
  
  call_django_api = SimpleHttpOperator(
      task_id='call_django_api',
      http_conn_id='django_api_conn',
      endpoint='/api/my-endpoint/',
      method='POST',
      headers={'Content-Type': 'application/json'},
      data=json.dumps({"key": "value"}),
  )
  

5. 排查第三方安全中间件拦截 #

若使用django-axes等安全中间件，Airflow的服务器IP可能被拦截，需将其加入白名单；同时查看Django的access/error日志，明确403错误的具体触发原因。

内容的提问来源于stack exchange，提问作者Aerpace Coimbatore