部署于Kubernetes Pod的Django应用经Nginx访问出现CSRF 403错误求助

检查Django配置（通过ConfigMap） #

• 确认ALLOWED_HOSTS包含所有访问来源：比如Nginx服务名、外部访问的域名/IP，格式类似ALLOWED_HOSTS: "nginx-service,your-domain,192.168.1.100"，Django会拒绝不在这个列表里的请求来源。
• 配置CSRF_TRUSTED_ORIGINS：Django 3.2+版本要求显式信任跨域或反向代理的请求来源，即使是HTTP协议，也要把Nginx的访问地址或外部访问的根URL加进去，比如CSRF_TRUSTED_ORIGINS: "http://nginx-service,http://your-external-ip:8080"，这是解决登录时CSRF验证失败的核心配置之一。

修正Nginx反向代理配置 #

• 确保转发请求时传递正确的请求头：

  proxy_set_header Host $host;
  proxy_set_header X-Forwarded-Proto $scheme;
  proxy_set_header X-Forwarded-For $remote_addr;
  

  这些头会让Django识别出真实的请求来源，生成有效的CSRF cookie并验证请求。

验证PV存储权限 #

• 进入Django Pod，检查PV挂载的会话存储目录（通常是/var/lib/django/sessions或自定义路径）的权限，执行命令：

  kubectl exec -it <django-pod-name> -- ls -l /path/to/sessions
  

  确保Pod的运行用户对该目录有读写权限，权限不足会导致CSRF cookie无法正常保存，进而触发验证失败。

隔离测试定位问题 #

• 跳过Nginx，直接通过kubectl port-forward访问Django Pod：

  kubectl port-forward <django-pod-name> 8000:8000
  

  本地访问http://localhost:8000尝试登录：
  • 如果正常，说明问题出在Nginx的转发配置上，回到第二步检查；
  • 如果仍报错，说明Django自身配置有问题，重点核对ConfigMap里的CSRF、会话相关配置。

内容的提问来源于stack exchange，提问作者noob_coder