如何在Django中禁用CSRF_COOKIE_SECURE并实现跨域HTTP Cookie设置？

问题描述 #

开发环境中前端与后端运行在不同域名下，尝试通过HTTP设置csrf-token Cookie，设置CSRF_COOKIE_SECURE = False后Chrome出现异常提示，怀疑该False值被识别为未设置，同时猜测必须将其设为True才能跨域传递Cookie，因此咨询：

• 是否支持通过普通HTTP进行跨域请求的Cookie设置？
• 如果支持，正确的Django配置是什么？

当前使用的配置代码片段：

CSRF_COOKIE_SAMESITE = 'None'
CSRF_COOKIE_SECURE = False

解答 #

普通HTTP环境下是支持跨域传递Cookie的，但你踩了浏览器的安全规范坑——当SameSite设为None时，浏览器强制要求Cookie必须通过HTTPS传输。这就是你遇到问题的核心原因：你把CSRF_COOKIE_SAMESITE设为'None'，同时又把CSRF_COOKIE_SECURE设为False，浏览器会直接忽略这个Cookie的设置，导致异常。

如果你的开发环境只能用HTTP（比如本地测试），不能用SameSite=None，正确的配置应该是这样：

# 开发环境HTTP跨域专用配置
CSRF_COOKIE_SAMESITE = 'Lax'  # 也可以用'Strict'，但Lax更适配跨域场景
CSRF_COOKIE_SECURE = False
# 指定允许跨域的前端来源
CORS_ALLOWED_ORIGINS = [
    "http://你的前端域名:端口",  # 示例："http://localhost:3000"
]
# 允许前端请求携带Cookie
CORS_ALLOW_CREDENTIALS = True

额外补充几点：

• SameSite=None和Secure=True是绑定要求，这是浏览器的安全规则，不是Django的限制。
• 生产环境建议用HTTPS，此时可以设置CSRF_COOKIE_SAMESITE = 'None'和CSRF_COOKIE_SECURE = True，配合上面的CORS配置实现跨域Cookie传递。
• 要确保前端请求时开启withCredentials: true（比如Axios中的对应配置），否则Cookie不会被正常传递。

内容的提问来源于stack exchange，提问作者Leonid