Django+React会话认证：Session Cookie未存储问题求助

问题场景 #

• 技术栈：Django + React，采用Session Authentication
• 核心现象：登录请求返回200状态码，但浏览器Cookie仅存在CSRF Token，无Session Cookie；无痕窗口无法登录，浏览器提示Indicate whether to send a cookie in a cross-site request by specifying its SameSite attribute
• 已完成排查：清理本地存储/跨浏览器测试、Axios配置withCredentials: true及xsrf相关参数、Django启用corsheaders并允许跨域携带凭证、自定义User模型及登录视图配置正常、其他前后端请求无异常
• 尝试过的调整：修改SESSION_COOKIE_SAMESITE和SESSION_COOKIE_SECURE参数，但要么登录失效，要么仍无Session Cookie

核心排查与解决步骤 #

1. 修正SameSite与Secure参数组合 #

浏览器对跨域Cookie的属性要求已强制标准化，需根据环境配置正确组合：

• 生产环境（HTTPS）：

  # settings.py
  SESSION_COOKIE_SAMESITE = 'None'
  SESSION_COOKIE_SECURE = True
  SESSION_COOKIE_HTTPONLY = True  # 必须开启，防范XSS攻击
  CSRF_COOKIE_SAMESITE = 'None'
  CSRF_COOKIE_SECURE = True
  

• 开发环境（HTTP，如localhost）：
  Chrome等浏览器对localhost的SameSite=None有特殊限制，建议使用如下配置：

  # settings.py
  SESSION_COOKIE_SAMESITE = 'Lax'
  SESSION_COOKIE_SECURE = False  # HTTP环境下不能开启Secure，否则Cookie会被浏览器拒绝
  SESSION_COOKIE_HTTPONLY = True
  CSRF_COOKIE_SAMESITE = 'Lax'
  CSRF_COOKIE_SECURE = False
  

  若开发环境仍报错，可临时启动Chrome关闭SameSite检查：chrome.exe --disable-features=SameSiteByDefaultCookies,CookiesWithoutSameSiteMustBeSecure（仅限调试使用）

2. 确认Django登录逻辑中Session的创建 #

登录视图必须调用login()方法，该方法才会生成Session并写入Cookie：

from django.contrib.auth import login
from rest_framework.response import Response

def user_login(request):
    # 用户验证逻辑（略）
    if user.is_authenticated:
        login(request, user)  # 关键：必须执行此方法触发Session创建
        return Response({"message": "登录成功"}, status=200)

若使用DRF的SessionAuthentication，需确保视图类正确配置认证类，且登录流程触发Session生成。

3. 检查Axios的完整跨域配置 #

确保Axios全局或请求级配置正确携带凭证及CSRF头：

// Axios全局配置
axios.defaults.withCredentials = true;
// 匹配Django默认的CSRF Cookie名和请求头
axios.defaults.xsrfCookieName = 'csrftoken';
axios.defaults.xsrfHeaderName = 'X-CSRFToken';

若登录请求为JSON格式，需手动获取CSRF Token并设置到请求头（表单提交可自动携带）。

4. 验证CORS配置的完整性 #

Django的corsheaders必须正确配置允许的源及凭证：

# settings.py
INSTALLED_APPS = [
    # ...
    'corsheaders',
]

MIDDLEWARE = [
    'corsheaders.middleware.CorsMiddleware',  # 必须放在CommonMiddleware之前
    'django.middleware.common.CommonMiddleware',
    # ...
]

CORS_ALLOW_CREDENTIALS = True
CORS_ALLOWED_ORIGINS = [
    "http://localhost:3000",  # React服务地址，必须精确匹配，不能用通配符*
    # 生产环境需替换为前端实际域名
]

注意：CORS_ALLOW_ALL_ORIGINS设为True会导致CORS_ALLOW_CREDENTIALS失效，必须明确指定允许的源。

5. 检查Cookie域名配置 #

若前后端为同主域名（如frontend.example.com和api.example.com），需设置Cookie的共享域名：

# settings.py
SESSION_COOKIE_DOMAIN = '.example.com'
CSRF_COOKIE_DOMAIN = '.example.com'

若为完全不同域名，保持默认配置即可（无需设置SESSION_COOKIE_DOMAIN）。

6. 排查Session存储后端 #

若使用默认数据库存储Session，需确保已执行数据库迁移：python manage.py migrate；若使用Redis等第三方存储，需确认配置正确且服务正常运行。

内容的提问来源于stack exchange，提问作者Louis Eiden