已添加CSRF Token但仍验证失败的Django表单问题求助

以下是针对多表单场景下CSRF验证失败的核心排查方向：

• CSRF Token的位置是否正确
  确保{% csrf_token %}标签放在每个需要提交的<form>标签内部。如果是通过单个表单提交多个Form对象的数据，只需在这个表单内添加一次token；如果是多个独立表单，每个表单都要单独添加该标签，避免token被放在表单外部或遗漏。

• 表单请求方法是否为POST
  检查模板中<form>标签是否显式设置method="post"。CSRF验证仅针对POST请求，若表单用GET方法提交，或视图误将GET请求纳入验证逻辑，都会触发失败提示。

• 视图的CSRF保护是否生效

  • 函数视图：确保添加了@csrf_protect装饰器，或使用@require_http_methods(["POST"])等限制请求方法的装饰器时未遗漏CSRF保护。
  • 类视图：确认继承的是自带CSRF保护的基类（如FormView、CreateView），不要随意添加@csrf_exempt装饰器（注册场景完全不需要禁用CSRF）。

• 多表单的数据初始化是否正确
  处理POST请求时，所有表单对象都要传入request.POST（含文件上传时还要传request.FILES），确保CSRF token能被所有表单识别。示例代码：

  from django.shortcuts import render
  from .forms import AccountForm, ProfileForm
  
  def register(request):
      if request.method == 'POST':
          account_form = AccountForm(request.POST)
          profile_form = ProfileForm(request.POST)
          if account_form.is_valid() and profile_form.is_valid():
              # 执行保存逻辑
              account = account_form.save()
              profile = profile_form.save(commit=False)
              profile.account = account
              profile.save()
      else:
          account_form = AccountForm()
          profile_form = ProfileForm()
      return render(request, 'register.html', {
          'account_form': account_form,
          'profile_form': profile_form
      })
  

• Cookie与请求头检查
  用浏览器开发者工具查看请求：

  • 确认Cookie中存在csrftoken字段；
  • 普通表单提交时，请求体中要有csrfmiddlewaretoken参数；
  • 若浏览器禁用Cookie，CSRF验证必然失败，需提示用户启用Cookie。

• 中间件配置是否正确
  检查settings.py的MIDDLEWARE列表，确保包含django.middleware.csrf.CsrfViewMiddleware，且顺序在django.contrib.sessions.middleware.SessionMiddleware之后、其他视图中间件之前。

• 模板渲染方式是否正确
  必须使用django.shortcuts.render函数渲染模板，它会自动将CSRF token注入上下文。若直接用HttpResponse渲染模板字符串，需手动传入csrf_token上下文：

  from django.template import loader
  from django.http import HttpResponse
  from django.middleware.csrf import get_token
  
  def register(request):
      # ... 表单逻辑
      template = loader.get_template('register.html')
      context = {
          'account_form': account_form,
          'profile_form': profile_form,
          'csrf_token': get_token(request)  # 手动传入token
      }
      return HttpResponse(template.render(context, request))
  

• 自定义CSRF配置是否冲突
  查看settings.py中的CSRF相关配置：

  • 若CSRF_COOKIE_SECURE = True，但网站使用HTTP协议，会导致Cookie无法设置；
  • CSRF_TRUSTED_ORIGINS是否包含当前站点域名，跨域场景下需配置此项。

内容的提问来源于stack exchange，提问作者Juan Molina