为何CSRF POST请求localhost:8000成功，127.0.0.1:8000却失败？

这个问题的核心在于浏览器的同源策略（Same-Origin Policy）——哪怕localhost和127.0.0.1指向同一个本地IP，它们在浏览器眼里是完全不同的"源"。同源要求协议、主机名、端口三者完全一致，只要其中一个不同，就会被判定为跨源请求，进而影响Cookie（包括CSRF Cookie）的传递逻辑。

为什么会出现这个报错？ #

当你前端用http://localhost:3000请求http://127.0.0.1:8000时：

• 浏览器认为这是跨源请求，会严格检查Cookie的匹配规则。之前你请求http://localhost:8000时，Django设置的CSRF Cookie的Domain是localhost，而现在请求的主机是127.0.0.1，浏览器不会把Domain为localhost的Cookie发送给127.0.0.1的后端。
• 虽然你配置了django-cors-headers允许localhost:3000的跨源请求，但CSRF验证还要求请求的Origin在CSRF_TRUSTED_ORIGINS里，同时Cookie要能正确携带。这里Cookie传递失败，就导致了Forbidden (CSRF cookie not set.)的错误。

解决办法 #

最直接且不易出错的方案是统一前后端的主机名：

• 把Django开发服务器绑定到localhost而不是默认的127.0.0.1，运行命令改成：

  python manage.py runserver localhost:8000
  

  这样后端就运行在http://localhost:8000，前端继续用这个地址请求，主机名完全一致，Cookie就能正常传递，CSRF验证也能通过。

如果因为某些原因必须混用localhost和127.0.0.1，可以尝试以下配置调整（不推荐，容易踩坑）：

• 在Django设置中添加CSRF_COOKIE_SAMESITE = 'Lax'（若需跨域传递Cookie，也可设为'None'，但需配合HTTPS环境），放宽Cookie的同源限制。
• 确保CSRF_TRUSTED_ORIGINS包含前端的完整Origin：

  CSRF_TRUSTED_ORIGINS = ['http://localhost:3000', 'http://127.0.0.1:3000']
  

• 同时更新CORS_ORIGIN_WHITELIST：

  CORS_ORIGIN_WHITELIST = ['http://localhost:3000', 'http://127.0.0.1:3000']
  

不过还是强烈建议统一主机名，避免不必要的跨源Cookie问题。

内容的提问来源于stack exchange，提问作者barciewicz