Nginx反向代理Django/Wagtail报错Origin校验失败null不匹配可信源

反向代理场景下出现Origin checking failed - null does not match any trusted origins报错，本质是Django无法从传入请求中获取到合法的Origin头，因此默认使用null作为Origin值做CSRF校验，和你配置的可信源列表不匹配。你的判断方向正确，问题由Nginx头透传缺失、Django未配置代理信任规则共同导致。

1. 更新Nginx反向代理配置 #

你当前的代理配置缺少关键头透传规则，将/api路径的location块替换为如下内容：

location /api {
    proxy_pass http://backend:8000/api;
    # 原有配置保留
    proxy_set_header Host $host;
    proxy_set_header X-Forwarded-Host $host;
    proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
    client_max_body_size 20M;
    # 新增必选配置
    proxy_set_header X-Forwarded-Proto $scheme;
    proxy_set_header Origin $http_origin;
    proxy_set_header X-Real-IP $remote_addr;
    proxy_pass_request_headers on;
}

配置说明：

• proxy_set_header Origin $http_origin会将客户端请求原生携带的Origin头直接透传给后端Django，避免代理层清空该头导致后端拿到null
• X-Forwarded-Proto用于告知Django用户原始请求使用的是HTTP还是HTTPS协议，避免Django拼接Origin时协议匹配错误
• proxy_pass_request_headers on确保所有原始请求头不会被代理层意外过滤

2. 补充Django settings.py配置 #

仅配置CSRF_TRUSTED_ORIGINS不足以让Django识别反向代理传递的头，需要补充代理信任相关配置：

# 允许的访问域名/IP，补充你部署环境的后端服务容器名/内网IP
ALLOWED_HOSTS = ["localhost", "domain", "server_ip", "backend"]
# 启用反向代理头识别
USE_X_FORWARDED_HOST = True
SECURE_PROXY_SSL_HEADER = ('HTTP_X_FORWARDED_PROTO', 'https')
# 原有CSRF可信源配置保留，注意如果服务使用非80/443端口，需要在地址后补充端口，例如https://domain:8443
CSRF_TRUSTED_ORIGINS = ["http://localhost","http://domain","http://server_ip","https://localhost","https://domain","https://server_ip"]

3. 异常排查 #

如果修改配置后仍报错，逐一排查以下场景：

• 不要通过本地file://协议双击打开静态页面访问接口，该场景下浏览器会主动将Origin置为null，必须通过HTTP/HTTPS服务访问页面
• 检查Nginx全局配置或其他location块中是否存在proxy_set_header Origin "";这类强制清空Origin头的规则，存在则删除
• 如果你使用CDN或其他中间代理层，确认中间层没有过滤或重写Origin头

内容的提问来源于stack exchange，提问作者user19413311