Django项目部署至AWS Elastic Beanstalk后CSRF验证失败报403错误如何解决

问题根因定位 #

结合你描述的两个特征：CSRF错误间歇出现、提交重复内容后展示旧主键，问题核心是动态页面被错误缓存，缓存节点（Django服务端缓存、AWS ALB负载均衡缓存、CDN缓存等）将带有旧CSRF令牌的历史页面返回给用户，旧令牌和用户当前会话的令牌不匹配就触发CSRF校验失败，缓存过期时页面重新生成就恢复正常，同时缓存的旧页面自然会展示历史ID。

排查步骤 #

• 检查Django缓存配置：查看settings.py中CACHES项，确认是否配置了全站缓存、视图缓存，且未排除带表单的动态页面
• 检查AWS侧缓存配置：查看Beanstalk关联的应用负载均衡（ALB）、CloudFront CDN的缓存规则，确认是否将text/html类型的动态响应纳入了缓存
• 验证令牌匹配：报错时抓取页面form标签内的csrfmiddlewaretoken值，和浏览器Cookie中的csrftoken值对比，二者不一致即可确认是页面缓存问题
• 检查响应头：访问页面前打开浏览器F12控制台的网络面板，查看页面响应的Cache-Control头，若存在max-age大于0的配置，说明页面被允许缓存

解决方案 #

1. 给所有带POST表单的动态页面添加禁止缓存的装饰器，彻底避免页面被任何节点缓存：

from django.views.decorators.cache import never_cache

@never_cache
@login_required(login_url="/login/")
def index(request):
    # 原有视图逻辑保持不变

2. 修正AWS侧缓存规则：将所有动态路径（需要登录访问的路径、表单提交路径）从缓存规则中移除，仅缓存静态资源（js、css、图片、字体等）
3. 补充Beanstalk部署必备的CSRF相关配置（Django 4.0+版本必须配置）：

# 配置受信任的生产域名，替换为你实际的站点域名
CSRF_TRUSTED_ORIGINS = [
    "https://你的站点域名",
]
# Beanstalk负载均衡默认做SSL卸载，需要告知Django实际请求是HTTPS
SECURE_PROXY_SSL_HEADER = ('HTTP_X_FORWARDED_PROTO', 'https')

4. 清理此前的无效配置：移除视图上的@csrf_exempt装饰器（会完全关闭CSRF防护，存在严重安全风险），恢复CSRF_COOKIE_AGE的默认值即可，无需设为None。

内容的提问来源于stack exchange，提问作者Crypticsy