Docker化Django+Nginx环境下CSRF验证错误的优化方案问询

1. 调整Nginx代理配置 #

修改nginx.conf中的location块，确保传递完整的外部请求信息给Django容器：

location / {
    proxy_pass http://web:8000;
    # 传递浏览器发送的完整Host（含端口）
    proxy_set_header Host $http_host;
    proxy_set_header X-Real-IP $remote_addr;
    # 传递客户端IP链
    proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
    # 传递外部请求的协议（http/https）
    proxy_set_header X-Forwarded-Proto $scheme;
    # 让Django获取外部真实的Host地址
    proxy_set_header X-Forwarded-Host $http_host;
    proxy_redirect off;
}

配置原理 #

• $http_host会原样保留浏览器发送的Host头（比如xyz.local:8888），而$host会自动去掉默认端口（80/443），用$http_host能确保Django拿到完整的外部访问地址。
• X-Forwarded-*系列头是代理服务的标准头，用来告诉后端应用真实的客户端请求信息，而非代理容器自身的信息。

2. 修改Django settings.py配置 #

更新以下配置项，让Django信任代理传递的头信息，同时不硬编码外部环境：

# 允许所有主机访问（适合开发/测试场景，生产环境可根据实际限制）
ALLOWED_HOSTS = ['*']

# 启用代理头支持，让Django优先使用X-Forwarded-Host作为请求的主机
USE_X_FORWARDED_HOST = True

# 信任所有HTTP源（避免硬编码具体域名端口，适合灵活部署场景）
CSRF_TRUSTED_ORIGINS = ['http://*']

配置原理 #

• USE_X_FORWARDED_HOST = True：让Django忽略自身容器的Host（web:8000），转而使用Nginx传递的X-Forwarded-Host头中的真实外部地址。
• CSRF_TRUSTED_ORIGINS = ['http://*']：允许所有HTTP源通过CSRF验证，不管外部用什么域名、端口访问，都不需要修改Django配置。生产环境可缩小范围（比如['http://*.local']），开发/灵活部署场景用通配符最省心。
• ALLOWED_HOSTS = ['*']：确保Django接受来自任意主机的请求，配合USE_X_FORWARDED_HOST使用，无需硬编码外部域名。

3. 重启容器 #

修改配置后，重启Nginx和Django容器：

docker-compose restart nginx web

这样调整后，Django容器完全不需要感知外部的域名、端口配置，不管你在哪个主机、用哪个端口映射Nginx，都能正常通过CSRF验证。

内容的提问来源于stack exchange，提问作者JimOfAllTrades