streamlit 本地运行时图片上传触发 axioserror 403，通常由默认启用的 xsrf（csrf）保护机制拦截非标准请求所致；禁用该保护（仅限开发环境）可立即解决。
streamlit 本地运行时图片上传触发 axioserror 403，通常由默认启用的 xsrf（csrf）保护机制拦截非标准请求所致；禁用该保护（仅限开发环境）可立即解决。
在使用 Streamlit 构建图像上传功能（如 st.file_uploader）时，部分用户会遇到浏览器控制台报错：
AxiosError: Request failed with status code 403
该错误并非源于代码逻辑缺陷（您提供的代码完全正确），也与依赖包缺失或环境配置无关，而是 Streamlit 自 v1.29+ 起默认开启的 XSRF（Cross-Site Request Forgery）防护机制 在本地开发场景下对文件上传请求进行了过度拦截——尤其当请求头不包含标准 X-XSRF-TOKEN 或服务端校验策略较严格时。
✅ 根本解决方案（开发阶段适用）
启动应用时显式禁用 XSRF 保护：
streamlit run app.py --server.enableXsrfProtection false
⚠️ 重要注意事项：
- 此参数仅限本地开发和可信内网环境使用，严禁在生产部署中关闭 XSRF 保护（将导致严重安全风险）；
- 若需生产环境支持文件上传，请改用反向代理（如 Nginx）统一处理认证与 Token 注入，或通过 st.experimental_connection 配合后端 API 实现安全中转；
- 禁用后，Streamlit 日志中将显示警告：XSRF protection disabled — not recommended for production!，请务必留意。
? 验证是否生效：
重启应用后，重新上传 JPG/PNG 等支持格式图片，st.file_uploader 将正常返回文件对象，Image.open() 和 st.image() 可无缝渲染，控制台不再出现 403 报错。
? 延伸建议：
- 始终在 requirements.txt 中锁定 Streamlit 版本（如 streamlit>=1.32.0），避免因版本升级意外引入新防护策略；
- 对于需要长期维护的项目，建议将上传逻辑封装为异步 API 调用，并由独立后端服务处理文件存储与校验，使前端保持轻量且安全可控。
