Django配置django-cors-headers后响应缺失CORS头问题排查

问题根因 #

问题来自几个配置错误和排查逻辑的偏差：

• 核心配置逻辑矛盾：你设置了CORS_ORIGIN_ALLOW_ALL = False（拒绝所有未明确放行的跨域源），但CORS_ALLOWED_ORIGINS配置为空列表，等于没有放行任何跨域请求源，corsheaders中间件不会给匹配失败的请求加CORS相关响应头。
• 排查逻辑错误：你在视图函数内部实例化resp_out后立刻打印响应头，此时响应还未进入Django中间件的后置处理流程，corsheaders注入响应头的逻辑还没执行，自然看不到CORS字段。
• 额外潜在风险：从你打印的请求头包含Via、X-Forwarded-*系列字段判断，服务前挂了反向代理/CDN/网关层，存在网关过滤CORS头、多层CORS配置冲突的可能。

注：你贴的代码里Authorization请求头值缺少闭合单引号属于代码笔误，和CORS问题无关，自行修正即可

修复&补全配置步骤 #

• 第一步：补全跨域允许源配置
  开发环境临时验证可暂时放开所有源：

  CORS_ORIGIN_ALLOW_ALL = True
  

  生产环境必须严格配置白名单，将前端访问的完整源（带协议、非默认端口要带端口号，末尾不加斜杠）加入列表，示例：

  CORS_ALLOWED_ORIGINS = [
      "http://localhost:3000", # 本地开发前端地址
      "https://your-front-domain.com", # 线上前端域名
  ]
  

• 第二步：确认中间件顺序正确
  corsheaders.middleware.CorsMiddleware必须放在django.middleware.common.CommonMiddleware之前，且尽量靠前，要放在所有可能生成、修改响应的中间件前面，参考正确配置：

  MIDDLEWARE = [
      'django.middleware.security.SecurityMiddleware',
      'corsheaders.middleware.CorsMiddleware', # 必须在CommonMiddleware之前
      'django.middleware.common.CommonMiddleware',
      'django.contrib.sessions.middleware.SessionMiddleware',
      'django.middleware.csrf.CsrfViewMiddleware',
      'django.contrib.auth.middleware.AuthenticationMiddleware',
      # 其余中间件...
  ]
  

  你当前配置里corsheaders加入INSTALLED_APPS的操作没有问题。
• 第三步：用正确方式验证响应头
  不要在视图内部打印刚构造的响应对象，此时中间件还未处理响应。直接通过浏览器开发者工具的网络面板、curl/Postman发起带Origin头的请求，查看最终返回的响应头即可。
• 第四步：反向代理场景排查
  如果完成以上配置后仍看不到CORS头，检查前置网关/CDN/Nginx的配置，确认没有开启网关层的CORS规则覆盖Django返回的响应，也没有配置规则过滤掉Access-Control-*系列响应头。

内容的提问来源于stack exchange，提问作者bernardo