Django 4.0.4集成Recaptcha v3报SameSite Cookie错误如何解决

你之前的配置只覆盖了CSRF Cookie，触发浏览器SameSite告警的核心原因有三个：

• 漏配了Django默认sessionid会话Cookie的SameSite属性，绝大多数人卡在这里
• 你写的CSRF_COOKIE_SAMESITE = "none"是无效值，Django 4.0+要求字符串取值为首字母大写的"None"，小写值不会被框架识别，会自动回退到默认的Lax规则
• 若服务部署在反向代理（Nginx、CDN）后，没配置HTTPS请求头识别的话，Django不会给Cookie加上Secure标记，你配的CSRF_COOKIE_SECURE = True不会实际生效

修改settings.py里的Cookie相关配置，全量覆盖CSRF和会话Cookie的规则：

# 显式声明所有跨站场景需要传递的Cookie的SameSite属性
CSRF_COOKIE_SAMESITE = "None"
SESSION_COOKIE_SAMESITE = "None"

# SameSite=None必须配合Secure标记使用，否则浏览器会拒绝跨站下发Cookie
CSRF_COOKIE_SECURE = True
SESSION_COOKIE_SECURE = True

# 反向代理部署场景必须加该配置，否则Django无法识别HTTPS请求
SECURE_PROXY_SSL_HEADER = ("HTTP_X_FORWARDED_PROTO", "https")

本地开发调试（DEBUG=True）时如果没有搭HTTPS环境，追加以下覆盖配置，避免本地Cookie失效：

if DEBUG:
    CSRF_COOKIE_SECURE = False
    SESSION_COOKIE_SECURE = False
    CSRF_COOKIE_SAMESITE = "Lax"
    SESSION_COOKIE_SAMESITE = "Lax"

• 配置修改完成后，先清空浏览器对应域名下的所有存量Cookie，再重启Django服务测试——本地留存的旧属性Cookie会持续触发控制台告警，和新配置无关
• 打开浏览器开发者工具的「应用-Cookie」面板，检查你域名下的csrftoken和sessionid两个Cookie，确认SameSite和Secure列的值和配置一致
• 如果你用了django-recaptcha第三方包，升级到2.0.2及以上版本，旧版本未适配Django 4的Cookie规则，会自行下发不带SameSite属性的校验Cookie
• 如果控制台告警指向的是谷歌域名下发的Recaptcha自有Cookie（__Secure-开头），这部分是谷歌侧的配置问题，和你的Django服务无关，生产环境HTTPS访问时不会影响验证码正常校验，无需额外处理

内容的提问来源于stack exchange，提问作者Pranav Dumpa