DRF三个配置项allow_hosts、cors_allowed_origins、CSRF_TRUSTED_ORIGINS

配置项：allow_hosts

• ALLOWED_HOSTS是用于配置Django应用程序的主机访问权限的设置。
• 它决定了哪些主机（域名或IP地址）可以访问Django应用程序。
• 在HTTP请求头中，主机信息通过Host字段传递，它指示请求要访问的目标服务器的主机名或IP地址。ALLOWED_HOSTS设置会检查该字段，决定是否允许来自特定主机的请求访问Django应用程序。
• 具体配置成127.0.0.1、localhost、内网ip、外网ip、域名要和Host值保持完全一致

Request Headers

Host: www.abc.com:9000

allow_hosts

# settings.py
ALLOWED_HOSTS = ['www.abc.com']

配置项：cors_allowed_origins

• cors_allowed_origins是用于配置跨域资源共享（CORS）的Django设置，它决定了哪些来源（Origin）可以访问Django应用程序的资源。
• 在HTTP请求头中，跨域请求会带有Origin字段，它指示请求来自哪个来源。cors_allowed_origins设置会检查该字段，决定是否允许来自特定来源的请求访问Django应用程序。
• 前后端开发阶段，该值为前端服务器的协议、ip、端口。nginx代理后，该值为nginx服务器的协议、ip、端口。
• 跨域其实是浏览器的保护机制，后端可以正常返回数据，只是浏览器不予接收。

Request Headers

Origin: http://qwer.com

CORS_ALLOWED_ORIGINS = [
    "http://qwer.com" # 注意这里是默认的80端口，直接不写
]

配置项：CSRF_TRUSTED_ORIGINS

• csrf_trusted_origins用于配置可信任的来源（Origin）列表，以绕过跨站请求伪造（CSRF）保护机制。CSRF保护是一种安全措施，旨在防止恶意网站利用认证用户的身份在用户不知情的情况下发送恶意请求。
• CSRF_TRUSTED_ORIGINS允许你配置一些来源（Origin），在这些来源下，Django不会要求CSRF令牌。这对于某些情况下可能很有用，比如当你的Django应用程序服务于其他应用或域，并且你信任这些应用或域不会发送恶意请求
• 前后端开发阶段，该值为前端服务器的协议、ip、端口。nginx代理后，该值为nginx服务器的协议、ip、端口。

Origin: http://qwer.com

CSRF_TRUSTED_ORIGINS= [
    "http://qwer.com" # 注意这里是默认的80端口，直接不写
]