GCP Compute Engine上Code-Server运行Django的CSRF/CORS问题

核心问题 #

错误提示明确指出Origin checking failed - https://dev.myweb.com does not match any trusted origins，这说明Django的CSRF验证机制未将你的Code-Server域名加入可信源列表。CORS配置和CSRF可信源是两个独立的安全机制，仅配置CORS无法解决CSRF的Origin验证问题。

修复步骤 #

1. 在远程环境的Django配置中添加CSRF_TRUSTED_ORIGINS设置：

if os.environ.get("ENV") == "DEV-remote":
    USE_X_FORWARDED_HOST = True
    FORCE_SCRIPT_NAME = "/proxy/8000"
    # 添加CSRF可信源，解决Origin验证失败问题
    CSRF_TRUSTED_ORIGINS = [
        "https://dev.myweb.com",
    ]
    # 保留原有CORS配置
    CORS_ALLOW_ALL_ORIGINS = True
    CORS_ALLOWED_ORIGINS = [
        "https://dev.myweb.com",
    ]
    CORS_ALLOW_METHODS = [
        'DELETE',
        'GET',
        'OPTIONS',
        'PATCH',
        'POST',
        'PUT',
    ]
    CORS_ORIGIN_WHITELIST = [
        "https://dev.myweb.com",
    ]

2. 验证基础配置（你的现有代码已满足以下要求，可快速确认）：

• 模板中{% csrf_token %}标签已正确放置在<form>标签内部
• USE_X_FORWARDED_HOST = True已启用，确保Django能识别代理传递的主机信息
• 浏览器允许接收Cookie（默认开启，若禁用需重新启用）

补充说明 #

Django的CSRF验证会检查请求的Origin或Referer头是否属于CSRF_TRUSTED_ORIGINS中的域名。当你通过https://dev.myweb.com/proxy/8000访问Django时，POST请求的Origin是https://dev.myweb.com，必须将其加入可信源才能通过验证。

内容的提问来源于stack exchange，提问作者Javier Vallejo