在 Web 开发中，让用户通过浏览器把数据交给服务器是最基础的需求之一。Django 作为成熟的 Python Web 框架，提供了一整套表单处理机制，既能保证数据安全，又能减少重复代码。理解这套机制，是写出稳定后端接口的前提。
一、Django 表单的核心组件
Django 的表单系统主要依赖 forms.Form 类。开发者在 Python 代码中定义字段，框架会自动生成对应的 HTML 控件，并在提交时完成类型转换与校验。这种方式比手动解析 request.POST 字典更可靠，也更容易维护。
除了基础表单，Django 还有 forms.ModelForm，它允许直接将模型字段映射为表单字段，适合增删改数据库记录。不过本文聚焦于最通用的 Form 用法，帮助理解底层数据流动。无论哪种形式，核心流程都是：定义表单类、渲染到模板、接收 POST 数据、校验并提取。
1.1 定义表单类
我们在应用目录下新建 forms.py，声明需要的字段。每个字段都有内置验证器，比如 CharField 可限制最大长度，EmailField 会检查格式。下面示例收集用户名与年龄：
from django import forms
class UserForm(forms.Form):
username = forms.CharField(label='用户名', max_length=20)
age = forms.IntegerField(label='年龄', min_value=0, max_value=150)
上述代码定义了两个字段，label 用于前端展示，max_length 等参数控制校验规则。当数据不合法时，表单会自动生成中文错误信息，无需手写判断。
1.2 模板中的表单渲染
在 HTML 模板里，必须使用 <form> 标签且 method 设为 post，同时放入 {% csrf_token %}。CSRF 中间件会验证该令牌，缺失则返回 403。Django 模板支持多种渲染方式，最简单是 {{ form.as_p }}。
<form method="post" action="/submit/">
{% csrf_token %}
{{ form.as_p }}
<button type="submit">提交</button>
</form>
这里 action 指向处理提交的路由。注意 {% csrf_token %} 会被替换为隐藏的 input 域，名称是 csrfmiddlewaretoken。如果前后端分离，需要通过 JS 读取 cookie 并加到请求头，但本文讨论的是服务端模板场景。
二、视图层接收与处理数据
视图函数需要同时支持 GET 与 POST。GET 时返回空表单，POST 时绑定数据并校验。Django 的设计让这部分逻辑非常清晰，不需要手动逐个读取字段。
2.1 基础视图写法
以下代码展示标准处理流程：用 request.POST 初始化表单，调用 is_valid，通过后用 cleaned_data 获得清洗后的值。cleaned_data 中的类型已由字段定义转换好，比如 age 是整型。
from django.shortcuts import render
from .forms import UserForm
def submit_view(request):
if request.method == 'POST':
form = UserForm(request.POST)
if form.is_valid():
name = form.cleaned_data['username']
user_age = form.cleaned_data['age']
# 此处可将数据存入数据库或做业务处理
return render(request, 'success.html', {'name': name})
else:
form = UserForm()
return render(request, 'form.html', {'form': form})
当校验失败时，form 对象会携带 errors，重新渲染模板时自动显示错误提示。这种回显机制避免了用户重复填写，体验远好于纯手写接口。
2.2 常见错误与排查
新手常遇到 403 错误，原因多为模板漏写 {% csrf_token %} 或中间件被关闭。另一个问题是拿不到数据，通常是因为前端 input 的 name 与表单字段名不一致，而 Django 表单渲染能保证这一点，所以推荐用自带的渲染而非手拼 HTML。
若使用 AJAX 提交，需从文档中读取 csrf token 并放入请求头，否则同样被拒。但在传统多页应用中，只要按上述模板写，基本不会出错。此外，IntegerField 若收到空值会报错，可设置 required=False 允许留空。
三、数据校验与自定义规则
除了字段自带验证，我们还可以在表单类中写 clean 方法实现跨字段逻辑。例如要求用户名不能包含数字，或年龄小于 18 时用户名必须带下划线。
3.1 自定义清洗方法
通过定义 clean_username 之类的方法，可以精细控制单个字段。下面示例禁止用户名出现空格：
class UserForm(forms.Form):
username = forms.CharField(max_length=20)
age = forms.IntegerField(min_value=0)
def clean_username(self):
value = self.cleaned_data['username']
if ' ' in value:
raise forms.ValidationError('用户名不能包含空格')
return value
该方法在 is_valid 中被自动调用，抛出的异常会转为表单错误。这种机制把业务规则收敛在表单内，视图保持简洁。
3.2 总结对比
对比手动处理 request.POST，Django 表单在安全性、可维护性与开发效率上都有优势。下表列出主要差异：
| 方式 | 校验 | CSRF | 代码量 |
|---|---|---|---|
| 手动解析 | 自己写 | 自己处理 | 多 |
| Django表单 | 自动 | 标签支持 | 少 |
因此，在 Django 中通过表单提交用户数据，应优先使用框架提供的 Form 类，配合模板标签与视图绑定，既能防攻击又能快速迭代。
DjangoformCSRF_token修改时间：2026-08-06 04:06:13