SvelteKit开发模式下跨站POST提交被禁止问题求助

安全阿岳

2026-7-25

问题：SvelteKit 跨域POST表单提交被禁止

本地开发环境中，SvelteKit应用部署在http://localhost:5173，前端有一台运行在http://localhost:8057的Nginx服务器，用于提供静态文件并代理需要SvelteKit处理的请求。

在http://localhost:8057/login页面提交登录表单时，页面仅显示提示："Cross-site POST form submissions are forbidden"。

已尝试的解决方案

设置ORIGIN环境变量：
.env文件内容：
```
ORIGIN=http://localhost:8057
```
通过服务端import { env } from '$env/dynamic/private';打印确认变量已生效，但问题仍存在；也尝试启动SvelteKit时直接传入变量（ORIGIN=http://localhost:8057 npm run dev），结果依旧。
在Nginx中添加proxy_set_header Origin http://localhost:5173;可以解决问题，但这几乎等同于关闭CSRF防护，不愿采用该方案。

尝试文档推荐的x-forwarded-proto和x-forwarded-host配置：
.env文件内容：

PROTOCOL_HEADER=x-forwarded-proto
HOST_HEADER=x-forwarded-host
ORIGIN=http://localhost:8057

Nginx配置：

location @sveltekit {
  proxy_pass http://localhost:5173;
  proxy_set_header X-Real-IP $remote_addr;
  proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
  proxy_set_header X-Forwarded-Proto $scheme;
  proxy_set_header X-Forwarded-Host $host;
}

但问题仍然存在。