Django REST Framework部署至PythonAnywhere后Booking接口POST请求CSRF验证失败问题求助

首先，这个问题大概率是因为Django默认的CSRF中间件会对所有POST请求做令牌验证，而你的BookingAddAPI视图没处理CSRF校验，反观项目里其他正常运行的POST请求，应该是已经通过装饰器或认证方式跳过了CSRF检查。

可能的深层原因 #

• 其他正常的POST视图要么用了@csrf_exempt装饰器豁免CSRF校验，要么采用了Token/JWT这类不需要CSRF验证的认证方案；
• 本地调试环境（DEBUG=True）下，Django的CSRF检查逻辑相对宽松，而部署到PythonAnywhere后（DEBUG=False），校验逻辑会严格执行。

具体解决方案 #

方案1：给API视图添加CSRF豁免装饰器

如果你的API是前后端分离的接口，不需要依赖Django的Session认证，最直接的办法就是给BookingAddAPI加上csrf_exempt装饰器，跳过CSRF验证：

from django.views.decorators.csrf import csrf_exempt
from django.utils.decorators import method_decorator
from rest_framework.views import APIView
from rest_framework import status
from rest_framework.response import Response
# 导入你的模型和序列化器

@method_decorator(csrf_exempt, name='dispatch')
class BookingAddAPI(APIView):
    @staticmethod
    def post(request):
        data = {}
        try:
            serializer = AddBookingSerializer(data=request.data)
            if serializer.is_valid():
                serializer.save()
                data['status'] = status.HTTP_201_CREATED
                data['message'] = "Data saved successfully"
            else:
                data['status'] = status.HTTP_400_BAD_REQUEST  # 这里建议用400替代204，204代表无内容，不符合无效数据的场景
                data['message'] = "Invalid data"
                data['errors'] = serializer.errors  # 返回具体错误信息，方便调试
        except Exception as e:
            data['status'] = status.HTTP_500_INTERNAL_SERVER_ERROR  # 服务器异常用500更准确
            data['message'] = "Failed to save the data"
            data['error'] = str(e)  # 转换为字符串避免序列化问题
        return Response(data=data)

方案2：使用Token认证替代CSRF验证

如果项目里其他API用了Token认证，那可以给这个视图也配置相同的认证方式，这样就不用处理CSRF了：

1. 先在settings.py中配置REST framework的认证类：

REST_FRAMEWORK = {
    'DEFAULT_AUTHENTICATION_CLASSES': [
        'rest_framework.authentication.TokenAuthentication',
    ]
}

2. 然后给BookingAddAPI添加认证要求（如果需要验证用户身份的话）：

from rest_framework.authentication import TokenAuthentication
from rest_framework.permissions import IsAuthenticated

class BookingAddAPI(APIView):
    authentication_classes = [TokenAuthentication]
    permission_classes = [IsAuthenticated]  # 若需要用户登录才能访问则添加

    @staticmethod
    def post(request):
        # 原代码逻辑不变

方案3：确保请求携带CSRF令牌（适用于Session认证场景）

如果你的API是基于Django Session认证的（比如前后端同域名），那需要让请求携带CSRF令牌：

• 前端从Cookie中取出csrftoken的值；
• 在POST请求的请求头中添加X-CSRFToken: <你的令牌值>。

额外优化建议 #

你原代码里的状态码使用不太规范，调整后会更符合HTTP语义：

• 无效数据返回HTTP_400_BAD_REQUEST（而非HTTP_204_NO_CONTENT）；
• 服务器异常返回HTTP_500_INTERNAL_SERVER_ERROR（而非HTTP_404_NOT_FOUND）；
• 返回序列化器的错误信息能帮你更快定位数据问题。

内容的提问来源于stack exchange，提问作者Hassan Gujjar