部分用户出现Django CSRF Token Cookie未设置问题求助

我之前维护Django应用时确实遇到过几乎一模一样的问题——大部分用户使用正常，但小部分用户频繁触发403 CSRF错误，排查后核心原因就是浏览器拦截了csrftoken Cookie。结合我的排查和解决经验，给你几个可行的方向试试：

1. 检查Cookie的SameSite属性设置 #

现代浏览器（Chrome 80+、Firefox 69+）默认会将Cookie的SameSite设为Lax，这会导致一些场景下（比如从外部链接跳转后发起POST请求、跨域请求）Cookie被拦截。

你需要在Django的settings.py里调整这两个配置：

# 仅在HTTPS环境下启用，生产环境为HTTP时不要开启
CSRF_COOKIE_SECURE = True
# 允许跨域/跨站点场景下携带Cookie，必须配合Secure=True使用
CSRF_COOKIE_SAMESITE = 'None'

注意：SameSite=None必须和Secure=True搭配，否则浏览器会拒绝保存该Cookie。如果你的生产环境还在用HTTP，得先升级到HTTPS才能生效。

2. 调整自定义中间件的执行时机 #

你当前的中间件是在get_response(request)之后调用get_token(request)，这可能导致某些场景下（比如其他中间件修改了响应头）Cookie未被正确写入。建议把get_token(request)移到处理请求之前：

def CSRFForceCookieMiddleware(get_response):
    def middleware(request):
        # 在处理请求前就生成并设置CSRF Cookie，确保响应头被正确添加
        get_token(request)
        response = get_response(request)
        return response
    return middleware

同时要确保这个自定义中间件在CsrfViewMiddleware之前注册（在settings.py的MIDDLEWARE列表里放在它前面）。

3. 确认Cookie的其他关键属性 #

• CSRF_COOKIE_HTTPONLY：必须设为False（Django默认就是False，但如果手动修改过就会出问题），因为你的AJAX请求需要通过JS读取这个Cookie，HTTPONLY=True会禁止JS访问。
• CSRF_COOKIE_PATH：确保设为'/'，这样整个网站的页面都能访问到这个Cookie，避免因路径不对导致JS拿不到。

4. 处理跨域AJAX请求的特殊情况 #

如果你的AJAX请求是跨域的（比如前端和后端部署在不同域名下），除了上面的SameSite设置，还要：

1. 在Django的CORS配置里添加CORS_ALLOW_CREDENTIALS = True（如果使用django-cors-headers插件）
2. 在jQuery的ajaxSetup里加上xhrFields: {withCredentials: true}：

$.ajaxSetup({ 
    beforeSend: function(xhr, settings) { 
        xhr.setRequestHeader("X-CSRFToken", $.cookie('csrftoken')); 
    },
    xhrFields: {
        withCredentials: true
    }
});

这样跨域请求才会携带Cookie。

5. 考虑浏览器隐私设置和插件影响 #

部分用户可能开启了严格隐私模式（比如Chrome无痕窗口、Firefox隐私窗口），或者安装了隐私插件（如Privacy Badger、uBlock Origin），这些工具会自动拦截第三方Cookie或非必要Cookie。

你可以在应用的错误提示里增加引导：如果用户遇到403错误，建议关闭隐私模式、暂时禁用隐私插件，或者检查浏览器的Cookie权限设置，允许你的网站保存Cookie。

6. 模拟场景验证 #

你可以自己复现问题来验证解决方案：

• 打开Chrome无痕窗口，访问你的应用，发起AJAX请求，查看是否出现Cookie丢失的情况
• 在Chrome开发者工具的Application -> Cookies面板中，检查csrftoken是否存在，以及它的SameSite、Secure属性是否正确

按照这些步骤调整后，我当时的问题就解决了，大部分之前报错的用户都恢复正常了。

内容的提问来源于stack exchange，提问作者Martin Massera