我在使用 mod_wsgi 的 apache 服务器上运行 django，以及由 apache 直接提供服务的 angularjs 应用程序，而不是 django。我想对 django 服务器（运行 rest_framework）进行 POST 调用，但是我遇到了 csrf 令牌的问题。
有没有办法从服务器设置令牌而不将其{% csrf token %}作为模板的一部分（因为这些页面没有通过 django）？
Django 和 AngularJS 都已经有 CSRF 支持，你的部分很简单。
首先，您需要在 Django 中启用 CSRF，我相信您已经这样做了，如果没有，请遵循 Django doc https://docs.djangoproject.com/en/1.5/ref/contrib/csrf/#ajax。
现在，Django 将设置一个以csrftoken第一个 GET 请求命名的 cookie ，并期望X-CSRFToken在以后的 POST/PUT/DELETE 请求中使用自定义 HTTP 标头。
对于 Angular，它需要命名的 cookie 并将XSRF-TOKEN使用X-XSRF-TOKEN标头执行 POST/PUT/DELETE 请求，因此您需要做一些调整以使两者相互配合：
$httpProvider.defaults.xsrfCookieName = 'csrftoken';
$httpProvider.defaults.xsrfHeaderName = 'X-CSRFToken';
在你的 js 代码的某处添加上面两行，module.config() 块是一个很好的地方。
而已。
注意：这是针对 angular 1.1.5，旧版本可能需要不同的方法。
由于 angular 应用程序不是由 django 提供的，为了让 cookie 被设置，angular 应用程序需要先向 django 发出 GET 请求。
var foo = angular.module('foo', ['bar']);
foo.config(['$httpProvider', function($httpProvider) {
$httpProvider.defaults.xsrfCookieName = 'csrftoken';
$httpProvider.defaults.xsrfHeaderName = 'X-CSRFToken';
}]);
使用 $http 的所有module服务和控制器将发送带有 csrf 令牌的请求。
四处搜索后，对我有用的是这篇文章，其中包含以下代码：
angular.module( '[your module name]',
... [some dependencies] ...
'ngCookies',
... [other dependencies] ...
)
.run( function run( $http, $cookies ){
// For CSRF token compatibility with Django
$http.defaults.headers.post['X-CSRFToken'] = $cookies.get('csrftoken');
})
这当然是在通过 django 服务器的 GET 请求获取 cookie 之后。
我还查看了这里的其他一些答案，包括 Ye Liun 的，但在官方文档中找不到任何指定更改 $httpProvider 上 xsrf 的默认选项的内容，除了这个在我写这篇文章的时间。
我为我的 AngularJS 应用程序创建了一个 Django 应用程序，与我的（REST）API Django 应用程序在同一个 Django 项目中，它只提供 index.html 文件（它只是一个 sym.link）。通过这种方式，CSRF Cookie 的设置无需额外的 GET 请求。
请在此处查看我关于子域 A 上的 AngularJS 单页 Web 应用程序使用 CORS 和 CSRF 保护与子域 B 上的 Django JSON (REST) API 交谈的答案
如果您将 cookie 设置为禁止 javascript 访问，则需要执行以下操作。在您的模板中，在创建 django 应用程序之前，添加以下内容：
<script>
window.csrf_token = "{{ csrf_token }}";
</script>
在您的 angular 应用程序中，添加以下内容：
angularApp.config(["$httpProvider", function($httpProvider) {
$httpProvider.defaults.headers.common["X-CSRFToken"] = window.csrf_token;
}]);
至少通过 Django 1.9，CSRF 令牌不会随着每个请求而改变。它仅在用户登录时更改。如果您正在开发单页 angular 应用程序，您需要确保在登录/注销时重置令牌，这应该可以正常工作。
注意：由于每次请求都会更改 CSRF 令牌，因此目前这在 Django 1.10 或更高版本中不起作用。请参阅使用 CSRF_COOKIE_HTTPONLY 将 Django CSRF 令牌传递给 Angular