django-cors-headers完全失效：配置中间件仍无法设置跨域请求头

我之前也碰到过类似的棘手情况，明明配置了corsheaders但Access-Control-Allow-Origin头就是不出现，给你几个实用的排查方向试试：

1. 确认corsheaders的安装与版本兼容性 #

先检查环境里是否真的安装了这个包，运行命令：

pip list | grep corsheaders

如果没查到，先重新安装：

pip install django-cors-headers

另外注意不同Django版本对应corsheaders的版本差异，比如Django 2.x适配3.x系列，Django 3.x+适配4.x及以上版本，确保版本匹配避免兼容性问题。

2. 替换依赖DEBUG的模糊配置，明确CORS规则 #

你当前用CORS_ORIGIN_ALLOW_ALL = DEBUG，虽然DEBUG为True，但这种依赖环境变量的写法可能被其他配置覆盖或加载顺序影响。试试直接写死规则：

# 允许所有域名跨域（调试环境可用）
CORS_ORIGIN_ALLOW_ALL = True

# 或者指定允许的域名（生产环境推荐）
# CORS_ORIGIN_WHITELIST = [
#     "http://localhost:8080",
#     "http://127.0.0.1:9000",
# ]

# 确保允许所有请求头
CORS_ALLOW_HEADERS = ['*']

3. 让CorsMiddleware尽可能靠前加载 #

虽然你把它放在了CommonMiddleware之前，但要确保它在所有可能发送响应的中间件之前执行，建议调整顺序为：

MIDDLEWARE = [
    'corsheaders.middleware.CorsMiddleware',  # 移到最前（SecurityMiddleware可保留在它前面）
    'django.middleware.security.SecurityMiddleware',
    'django.contrib.sessions.middleware.SessionMiddleware',
    'django.middleware.common.CommonMiddleware',
    'django.middleware.csrf.CsrfViewMiddleware',
    'django.contrib.auth.middleware.AuthenticationMiddleware',
    'django.contrib.messages.middleware.MessageMiddleware',
    'django.middleware.clickjacking.XFrameOptionsMiddleware',
]

CorsMiddleware需要最早介入响应流程，才能把CORS头正确添加到最终响应里。

4. 排除缓存干扰 #

浏览器缓存旧响应是常见的“假问题”，试试：

• 打开浏览器开发者工具的Network面板，勾选「禁用缓存」后重新请求
• 用curl直接请求服务器绕过浏览器缓存：

curl -v http://你的服务器地址/目标接口

如果curl返回的响应头里有Access-Control-Allow-Origin，那就是浏览器缓存的锅；如果curl里也没有，再继续排查服务器端配置。

5. 检查是否有其他组件拦截响应 #

比如自定义中间件、视图装饰器，甚至social_django的相关组件，都可能修改响应对象覆盖CORS头。可以暂时注释掉非必要的中间件（比如social_django相关），逐步测试定位问题来源。

6. 验证OPTIONS预请求的处理 #

如果你的请求是跨域预请求（OPTIONS方法），要确保corsheaders能自动处理。可以检查视图是否正确返回200响应，或者确认CommonMiddleware的APPEND_SLASH设置没有导致请求被重定向——重定向后的响应可能丢失CORS头。

内容的提问来源于stack exchange，提问作者jame