Django：清除request.session引发CSRF令牌错误的问题求助

首先，咱们来拆解一下你遇到的问题核心：当CSRF_USE_SESSIONS = True时，你通过request.session.clear()清空会话再恢复部分数据（包括_csrf_token），但旧表单提交仍触发CSRF验证失败。即使你确认令牌值被正确保留，问题依然存在，这大概率和你清理会话的方式以及Django的CSRF验证逻辑细节有关。

关键原因排查 #

1. 错误的会话清理方式：
   request.session.clear()会清空会话中的所有键值对，哪怕你随后把_csrf_token加回去，这个操作会标记会话为“完全重置”状态。虽然session_key没有变，但Django的会话框架内部可能会更新会话的元数据（比如修改时间、版本标识），这可能导致旧表单的CSRF令牌与当前会话的上下文不匹配——尽管令牌值看起来相同。

2. 潜在的语法错误：
   看你代码里的remember_dictionary写法：

   remember_dictionary = { '''some values that I wish to remember''', '_csrf_token': request.session.get('_csrf_token', False) }
   

   这是集合语法（用逗号分隔元素），不是字典！正确的字典写法应该是键值对形式：

   remember_dictionary = {
       'your_rest_key1': request.session.get('your_rest_key1'),
       'your_rest_key2': request.session.get('your_rest_key2'),
       '_csrf_token': request.session.get('_csrf_token')
   }
   

   如果用了集合语法，Python会直接报错，或者_csrf_token根本没被正确存入字典，这会导致你以为保留了令牌，实际上会话里没有这个键，自然验证失败。

3. CSRF令牌与会话上下文的绑定：
   当CSRF_USE_SESSIONS=True时，CSRF令牌虽然存储在会话中，但它的有效性不仅依赖于值匹配，还和会话的整体上下文（比如当前登录用户的标识）相关。如果你的会话清理操作是在新用户登录时执行的，此时会话中的用户身份已经变更，旧表单的令牌是属于旧用户会话的，即使值相同，Django也会认为这是无效的跨站请求。

解决方案 #

方案1：避免清空整个会话，只删除不需要的键

这是最稳妥的方式，既能清理冗余数据，又能保留_csrf_token和其他必要会话键，完全避免CSRF验证问题：

# 定义需要保留的会话键列表
keep_keys = [
    '_csrf_token',
    'your_rest_data_key1',
    'your_rest_data_key2',
    # 其他你需要保留的键
]

# 遍历并删除不在保留列表中的键
for key in list(request.session.keys()):
    if key not in keep_keys:
        del request.session[key]

这种方式不会重置会话的元数据，旧表单的CSRF令牌依然能和当前会话匹配。

方案2：修正字典语法，确保_csrf_token被正确保留

如果你必须使用清空再恢复的方式，首先要修正remember_dictionary的语法为字典，并且确保_csrf_token被正确获取和存入：

# 正确的字典写法
remember_dictionary = {
    'your_rest_key1': request.session.get('your_rest_key1'),
    'your_rest_key2': request.session.get('your_rest_key2'),
    '_csrf_token': request.session.get('_csrf_token')
}

request.session.clear()
for key, value in remember_dictionary.items():
    if value is not None:  # 用None判断更严谨，避免False值被过滤
        request.session[key] = value

同时，在新用户登录场景下，这种方式依然可能因为用户身份变更导致旧表单验证失败——这是合理的安全机制，毕竟旧表单属于前一个用户，不应该允许新用户提交。

方案3：验证令牌匹配情况

在表单提交的视图函数中，临时添加日志或打印，确认请求中的令牌与会话中的令牌是否真的一致：

def your_form_view(request):
    if request.method == 'POST':
        submitted_token = request.POST.get('csrfmiddlewaretoken')
        session_token = request.session.get('_csrf_token')
        print(f"Submitted token: {submitted_token}")
        print(f"Session token: {session_token}")
        print(f"Tokens match: {submitted_token == session_token}")
        # 后续逻辑

如果输出显示令牌不匹配，说明你在保留_csrf_token的环节出了问题，需要排查获取或存入的逻辑。

内容的提问来源于stack exchange，提问作者Akshya