生产环境无域名下Django CSRF验证失败问题求助

1. 是否需要将外部IP加入CSRF_TRUSTED_ORIGINS？ #

是的，必须添加。Django 4.x的CSRF验证会严格校验请求来源，你通过http://XX.XX.XX.XX/admin访问时，该外部IP就是请求的源地址，未被列入CSRF_TRUSTED_ORIGINS就会触发验证失败。本地能正常访问是因为你已将本地地址（如localhost、127.0.0.1）加入配置，但GCE的外部IP是新的可信源，必须补充进去。

配置示例：

CSRF_TRUSTED_ORIGINS = [
    "http://XX.XX.XX.XX",  # 替换为你的GCE外部IP
    # 保留本地开发所需的地址，比如"http://localhost:8000", "http://127.0.0.1:8000"
]

2. 更换IP时的通用配置方式 #

如果频繁更换机器IP，不想每次手动修改配置，可以用以下两种方案：

方式一：通过环境变量动态注入 #

在Django的settings.py中读取环境变量，部署时传入当前机器的外部IP即可：

import os

CSRF_TRUSTED_ORIGINS = [
    "http://localhost:8000",
    "http://127.0.0.1:8000",
]
# 读取环境变量中的外部IP并添加
external_ip = os.environ.get("EXTERNAL_IP")
if external_ip:
    CSRF_TRUSTED_ORIGINS.append(f"http://{external_ip}")

部署时通过环境变量传递IP：

# 直接设置环境变量
export EXTERNAL_IP=XX.XX.XX.XX
# 或在docker run时传入
docker run -e EXTERNAL_IP=XX.XX.XX.XX your-django-image-name

方式二：完善Nginx代理头配置（推荐） #

你的Nginx配置缺少传递真实请求源的头信息，导致Django识别的是Nginx容器的内部地址而非外部IP。修改Nginx配置，添加以下代理头：

upstream api {
    server container_name:8000;
}

server {
    listen 80;

    location / {
        proxy_pass http://api;
        # 添加以下代理头，传递真实请求信息
        proxy_set_header Host $host;
        proxy_set_header X-Real-IP $remote_addr;
        proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
        proxy_set_header X-Forwarded-Proto $scheme;
    }

    location /static/ {
        alias /static/;
    }
}

同时在Django的settings.py中开启代理支持：

USE_X_FORWARDED_HOST = True
SECURE_PROXY_SSL_HEADER = ('HTTP_X_FORWARDED_PROTO', 'http')  # 后续用HTTPS时改为'https'

配置完成后，Django会通过X-Forwarded-*头获取真实请求源，只要CSRF_TRUSTED_ORIGINS包含当前访问的IP（或后续更换的IP）就能通过验证。如果需要更灵活，还可以结合部署脚本自动获取当前GCE的外部IP，注入到环境变量中。

额外注意事项 #

• 确保Nginx和Django容器处于同一Docker网络，container_name能被正常解析。
• 后续配置域名后，直接将域名加入CSRF_TRUSTED_ORIGINS即可，比如"https://your-domain.com"。

内容的提问来源于stack exchange，提问作者Nikko