Django CORS 请求仅在服务器上创建 403 Forbidden Error

Posted 2023-03-03

【中文标题】Django CORS 请求仅在服务器上创建 403 Forbidden Error

【英文标题】：Django CORS requests creating 403 Forbidden Error only on server

【发布时间】：2021-07-27 19:08:35

【问题描述】：

我有一个应用程序，它使用 Django 作为后端并为前端做出反应，所以我设置了 django-cors-headers。当我使用添加的设置在本地测试应用程序时，我没有遇到任何问题。但是我部署到我的服务器上，我一直收到 API 请求的 403 错误（GET 请求除外）。

下面是我的settings.py文件（只有相关设置）：

import os

# Build paths inside the project like this: os.path.join(BASE_DIR, ...)
BASE_DIR = os.path.dirname(os.path.dirname(os.path.abspath(__file__)))

# Quick-start development settings - unsuitable for production
# See https://docs.djangoproject.com/en/2.2/howto/deployment/checklist/

# SECURITY WARNING: keep the secret key used in production secret!
SECRET_KEY = '<my-secret-key>'

# SECURITY WARNING: don't run with debug turned on in production!
DEBUG = True

ALLOWED_HOSTS = ['<my-server-ip>']

# Application definition

INSTALLED_APPS = [
    'django.contrib.admin',
    'django.contrib.auth',
    'django.contrib.contenttypes',
    'django.contrib.sessions',
    'django.contrib.messages',
    'django.contrib.staticfiles',
    'frontend',
    'services',
    'rest_framework',
    'dj_rest_auth',
    'rest_framework.authtoken',
    'user',
    'corsheaders',
]

MIDDLEWARE = [
    'corsheaders.middleware.CorsMiddleware',
    'django.middleware.security.SecurityMiddleware',
    'django.contrib.sessions.middleware.SessionMiddleware',
    'django.middleware.common.CommonMiddleware',
    'django.middleware.csrf.CsrfViewMiddleware',
    'django.contrib.auth.middleware.AuthenticationMiddleware',
    'django.contrib.messages.middleware.MessageMiddleware',
    'django.middleware.clickjacking.XFrameOptionsMiddleware',
]


STATIC_ROOT = os.path.join(BASE_DIR, 'static')

STATIC_URL = '/static/'

MEDIA_ROOT = os.path.join(BASE_DIR, 'media')

MEDIA_URL = '/media/'

REST_FRAMEWORK = 
    'DEFAULT_AUTHENTICATION_CLASSES': (
        'rest_framework.authentication.SessionAuthentication',
        'rest_framework.authentication.TokenAuthentication',
    )


CORS_ALLOWED_ORIGINS = [
    "http://<my-server-ip>:8000",
    "http://localhost:8000",
    "http://127.0.0.1:8000",
    "http://0.0.0.0"
]

CSRF_TRUSTED_ORIGINS = [
    "http://<my-server-ip>:8000",
    "http://localhost:8000",
    "http://127.0.0.1:8000",
    "http://0.0.0.0"
]

CORS_ALLOW_CREDENTIALS = True

我使用 axios 从 React 发出 API 请求，格式为 axios.post('http://:8000/api-endpoint', body, config) 和 then em> 和 catch 块。

我得到的具体错误是：

xhr.js:177 POST http://<my-server-ip>:8000/api/auth/login/ 403 (Forbidden)

和

createError.js:16 Uncaught (in promise) Error: Request failed with status code 403
    at createError (createError.js:16)
    at settle (settle.js:17)
    at XMLHttpRequest.handleLoad (xhr.js:62)

【问题讨论】：

看起来是后端返回的 403，这里没有 CORS

此代码在本地完全可以正常工作，但是在迁移到我的部署服务器并更改 IP 地址时出现了问题。因此问题一定出在 CORS 而不是我的后端。此外，每次我重置我的浏览器 cookie 时，第一个请求都有效，但在创建上述错误之后的每个附加请求。

CORS 错误不返回任何 4xx http 代码。所以这里没有与cors相关的东西！您的身份验证 cookie 可能有错误。通过检查网络检查您的前端是否真的发送了身份验证凭据

【参考方案1】：

感谢 dbuchet，我发现这里的问题不是 CORS，而是在我的 settings.py 文件中，我将会话和令牌身份验证都列为默认身份验证类 - 删除会话身份验证类解决了问题我有。