启用CSRF的Django后端：Java Rest Client表单提交失败排查

看起来你遇到的问题核心是CSRF Token的Cookie属性不匹配，以及POST请求中CSRF验证的细节没处理到位。我来一步步帮你分析和解决：

首先，拆解核心问题点 #

你提到两个关键现象：

1. GET请求只带sessionid Cookie正常，带csrftoken就被重定向
2. POST表单同时带两个Cookie+csrfmiddlewaretoken参数仍被重定向

这两个问题本质上都和Django对Cookie的校验逻辑有关，我们逐个击破：

一、为什么带csrftoken的GET请求会失败？ #

Django默认不对GET请求做CSRF验证，但如果你的请求带的csrftoken Cookie存在属性不匹配的问题，会导致Django无法将这个Cookie和当前session关联，进而认为你未登录：

• Cookie路径(Path)不匹配：比如登录后返回的csrftoken Cookie的Path是/accounts/，但你请求的/filebrowser/不在这个路径下，Django无法识别这个Cookie
• SameSite属性限制：如果Django设置了CSRF_COOKIE_SAMESITE = 'Strict'，而你的客户端和Django不在同一域名，跨站请求会被阻止发送Cookie
• Cookie值过期/不匹配：登录后Django可能会刷新csrftoken，你是否用了登录响应返回的最新值？

验证方法：打印登录响应的所有Cookie详情，确认属性是否正确：

println("登录返回的Cookie详情：")
response.cookies.foreach(cookie => {
    println(s"名称: ${cookie.getName}, 值: ${cookie.getValue}")
    println(s"路径: ${cookie.getPath}, 域名: ${cookie.getDomain}")
    println(s"SameSite属性: ${cookie.getAttribute("SameSite")}\n")
})

二、POST表单提交失败的解决步骤 #

Django对POST请求的CSRF验证要求：

必须同时存在csrftoken Cookie，且请求中的csrfmiddlewaretoken参数（或X-CSRFToken请求头）的值和Cookie值完全一致

你可以按以下步骤排查修复：

1. 确保使用登录后返回的最新csrftoken

登录操作会触发Django刷新csrftoken，你必须用登录响应返回的新值，而不是登录前获取的旧值。检查你的getAccessToken(response)方法，是否正确从登录响应的Cookie中提取了最新的csrftoken和sessionid。

2. 改用请求头传递CSRF Token（更可靠）

相比于表单参数，用X-CSRFToken请求头传递Token更容易避免编码或参数解析问题，修改POST代码如下：

val req = Http(s"$baseUrl/filebrowser/mkdir?next=/filebrowser/view=$hdfsPathDirParent")
    .header("X-CSRFToken", accessToken.csrftoken.getValue) // 用请求头传递
    .postForm(Seq("name" -> hdfsDirName, "path" -> hdfsPathDirParent))
    .cookie(accessToken.sessionid)
    .cookie(accessToken.csrftoken)
val response = req.asString

3. 检查Cookie的属性匹配度

确保csrftoken和sessionid的Path属性和请求URL的路径一致（比如都是/），如果Django设置了CSRF_COOKIE_SECURE = True，你的请求必须使用HTTPS，否则Cookie不会被发送。

4. 查看Django后端的CSRF日志

开启Django的CSRF debug日志，能直接看到验证失败的原因：
在settings.py中添加日志配置：

LOGGING = {
    'version': 1,
    'disable_existing_loggers': False,
    'handlers': {
        'console': {'class': 'logging.StreamHandler'},
    },
    'loggers': {
        'django.security.csrf': {
            'handlers': ['console'],
            'level': 'DEBUG',
            'propagate': False,
        },
    },
}

运行Django后，控制台会输出类似CSRF cookie not set或CSRF token missing or incorrect的提示，直接定位问题。

额外注意点 #

• 确保你的HTTP客户端（看起来是Scala的Dispatch库）没有重复发送旧Cookie，手动添加Cookie时要覆盖之前的残留值
• 如果Django设置了CSRF_COOKIE_HTTPONLY = True，不影响你的客户端操作Cookie（这个设置只是禁止JS读取）

内容的提问来源于stack exchange，提问作者Capacytron