Django3升级至4后生产环境登录出现CSRF 403错误求助

核心异常特征：本地开发服务器运行无异常，生产环境触发登录功能时返回CSRF 403错误；页面加载的csrftoken Cookie值与表单隐藏域csrfmiddlewaretoken值不匹配；手动清除站点Cookie、执行./manage.py clearsessions清理会话数据无效；无痕模式、更换浏览器仍会复现问题；此前曾安装后移除allauth组件，当前登录路径为/login/?next=/。

按以下优先级逐一排查：

• 校验CSRF来源配置
  Django4对CSRF校验逻辑做了不兼容升级，强制要求配置CSRF_TRUSTED_ORIGINS参数，需将生产环境所有访问域名（包含带/不带www、对应HTTPS/HTTP的完整源格式，例如https://example.com）全部加入该列表。配置缺失时会触发CSRF校验逻辑异常，直接导致Cookie与表单token值不匹配。
• 检查反向代理与HTTPS配置
  生产环境这类CSRF异常90%以上由反向代理头传递错误导致：
  1. 确认Nginx、CDN等反向代理层正确配置请求头传递规则，添加proxy_set_header X-Forwarded-Proto $scheme;配置，将用户实际访问的协议传递给后端Django服务
  2. 确认Django配置文件中SECURE_PROXY_SSL_HEADER = ("HTTP_X_FORWARDED_PROTO", "https")配置正确。未配置该项时，Django会将HTTPS请求误识别为HTTP请求，导致每次请求重复生成新的CSRF token，最终出现Cookie存储旧值、表单渲染新值的不匹配问题。
• 清理残留配置与中间件
  检查settings.py中的MIDDLEWARE列表，彻底删除所有残留的allauth相关中间件条目；同时核对CSRF_COOKIE_DOMAIN、CSRF_COOKIE_PATH、CSRF_COOKIE_SECURE三个CSRF Cookie相关配置项，确认Cookie作用域与当前访问域名完全匹配，不存在旧配置导致的Cookie跨域写入异常。
• 排查视图逻辑与缓存异常
  1. 检查登录视图代码，确认不存在错误叠加@csrf_exempt、@csrf_protect装饰器的情况，也没有在GET请求加载页面阶段调用rotate_token()方法重复刷新CSRF token。两次刷新token会导致第一次生成的值写入Cookie，第二次生成的值渲染到表单，直接触发值不匹配问题。
  2. 绕过CDN、Web服务器缓存层直接访问源站登录接口测试，如果直连源站时token匹配、通过代理访问时不匹配，说明CDN或服务器缓存了登录页的动态内容，需要将登录路径配置为不缓存，每次请求动态返回生成的表单内容。
• 快速定位错误根因
  可临时短时间开启生产环境DEBUG=True配置（测试完成后第一时间关闭），触发CSRF 403时Django会返回详细的错误原因，明确标注是来源校验失败、Cookie域不匹配还是token值校验失败，无需盲目试错。

已验证无效的操作：清除站点Cookie、执行会话清理命令，无需重复尝试。

内容的提问来源于stack exchange，提问作者MikeiLL