Django生产环境部署后Admin登录出现CSRF验证失败问题排查

针对你遇到的问题，结合配置和生产环境部署情况，可能的原因如下：

• 反向代理未正确传递关键请求头：如果生产服务器使用了Nginx、Apache等反向代理服务，未配置传递X-Forwarded-Proto和Host头，会导致Django无法识别真实的请求协议（HTTPS）和主机域名。CSRF验证依赖请求的协议、域名等信息生成和校验token，这些信息不匹配就会触发验证失败。

• DEBUG模式与生产配置的冲突：尽管你设置了正确的CSRF_TRUSTED_ORIGINS、CSRF_COOKIE_DOMAIN等生产环境参数，但DEBUG=True时，Django对Admin页面的静态资源和cookie处理有特殊逻辑，可能和你的HTTPS安全配置（如CSRF_COOKIE_SECURE=True）产生冲突，导致CSRF cookie的生成或传递出现问题。

• 浏览器残留旧CSRF Cookie：之前在本地或其他环境访问时留下的CSRF cookie（域名、协议不同）可能仍存在浏览器缓存中，和当前生产环境的CSRF token不匹配，引发验证失败。

内容的提问来源于stack exchange，提问作者Nahidujjaman Hridoy