Khoj-ai项目Django服务ALLOWED_HOSTS配置指南

在部署Khoj-ai项目时，许多用户遇到了Django的ALLOWED_HOSTS安全限制问题，导致无法通过局域网IP访问管理界面。本文将详细介绍这一问题的背景、原因和解决方案。

问题背景

Khoj-ai是一个基于Django框架构建的开源项目，默认配置中启用了Django的安全特性。当用户尝试通过非localhost地址（如局域网IP）访问管理后台时，会遇到"DisallowedHost"错误，提示请求的host不在ALLOWED_HOSTS列表中。

技术原理

Django的ALLOWED_HOSTS设置是一项重要的安全功能，用于防止HTTP Host头攻击。它限制了服务器可以响应的域名或IP地址列表。在Khoj-ai项目中，这一配置通过环境变量KHOJ_DOMAIN动态生成。

解决方案

基础配置

对于大多数局域网访问场景，最简单的解决方案是：

1. 在docker-compose.yml中设置：

environment:
  KHOJ_DOMAIN: "你的局域网IP"
  KHOJ_NO_SSL: "True"

2. 重新创建容器使配置生效

高级配置

对于需要更复杂访问方式的用户：

1. 多域名支持：最新版本支持通过逗号分隔的域名列表

KHOJ_DOMAIN: "192.168.1.1,device.router.brand,example.com"

2. CSRF保护问题：确保同时设置KHOJ_DEBUG=False以避免CSRF验证失败

3. SSL证书：生产环境建议配置有效SSL证书而非使用KHOJ_NO_SSL

典型场景示例

家庭服务器部署：

• 同时通过内网IP和路由器分配的域名访问
• 配置示例：

environment:
  KHOJ_DOMAIN: "192.168.1.100,homeserver.router"
  KHOJ_NO_SSL: "True"

无显示器服务器：

• 通过内网穿透远程访问
• 需要设置内网穿透分配的IP地址为允许host

最佳实践建议

1. 开发环境可以使用KHOJ_NO_SSL，但生产环境应配置有效SSL证书
2. 定期检查并更新ALLOWED_HOSTS列表，移除不再使用的域名
3. 对于家庭网络，考虑使用DDNS服务获取固定域名
4. 在无法直接访问服务器的情况下，推荐使用内网穿透等解决方案

通过合理配置这些参数，用户可以灵活地在各种网络环境下安全地访问Khoj-ai服务的管理功能。