登录后Django模板中CSRF token失效问题及解决方案咨询

不用放弃模板中的{% csrf_token %}标签，但针对AJAX场景，更推荐在发送请求前从cookie动态获取最新的CSRF token，以此避免多标签页登录后旧页面token过期的问题，原因和具体操作如下：

问题根源 #

匿名用户打开的多个公共页面会渲染同一CSRF token，但登录时Django会自动轮换CSRF token并更新cookie中的值——此时旧标签页里静态渲染的token已经和cookie中的新token不匹配，后续POST/AJAX请求自然会触发403验证失败。

两种token来源的取舍 #

• 模板{% csrf_token %}：适合普通表单提交，渲染时直接生成符合当前会话的token，逻辑简单。但缺点是token是静态的，会话状态变化（如登录、退出）后，旧页面的token会立即失效，必须刷新页面才能获取新值。
• 从cookie动态获取：AJAX请求前读取csrftoken cookie的值，将其放入请求头（X-CSRFToken）或表单参数中。这种方式能保证每次请求用的都是最新的token，完美适配多标签页、会话状态频繁变化的场景。

具体实现示例 #

写一个简单的JS函数提取cookie中的CSRF token：

function getCsrfToken() {
    let cookieValue = null;
    if (document.cookie && document.cookie !== '') {
        const cookies = document.cookie.split(';');
        for (let i = 0; i < cookies.length; i++) {
            const cookie = cookies[i].trim();
            if (cookie.substring(0, 10) === 'csrftoken=') {
                cookieValue = decodeURIComponent(cookie.substring(10));
                break;
            }
        }
    }
    return cookieValue;
}

发送AJAX请求时带上这个token：

const csrfToken = getCsrfToken();
fetch('/api/your-endpoint/', {
    method: 'POST',
    headers: {
        'X-CSRFToken': csrfToken,
        'Content-Type': 'application/json'
    },
    body: JSON.stringify({/* 请求数据 */})
});

总结 #

Django的{% csrf_token %}本身是可靠的，只是静态渲染的特性不适用于会话状态变化后的多标签页场景。实际开发中可以混合使用：普通表单提交保留模板标签，AJAX请求统一从cookie动态获取token，兼顾简洁性和场景适配性。

内容的提问来源于stack exchange，提问作者Ilya