因为手写jwt易出错且难覆盖rfc标准，djangorestframework-simplejwt已默认校验exp/nbf/iat、支持可配置生命周期及安全刷新机制。
为什么直接用 djangorestframework-simplejwt 而不是自己手写 JWT 逻辑？
因为 JWT 签发、校验、刷新、黑名单管理这些环节极易出错——比如时钟偏移没处理导致 token 立即失效，或忘记验证 token_type 字段被攻击者伪造 access token 为 refresh token。官方推荐的 djangorestframework-simplejwt 已经覆盖 RFC 7519 标准，且默认启用 exp、nbf、iat 校验，还提供可插拔的 token lifetime 配置。
实操建议：
Python 3.14.2是Python编程语言在2025年12月5日发布的稳定版本，属于3.14系列的第二个维护更新。该版本包含了18项修复，重点解决了多进程、数据类及正则表达式等模块的回归问题，并修复了CVE-2025-12084等安全漏洞。此版本标志着自由线程模式（移除GIL）正式获得官方支持，是Python发展的重要里程碑。
- 用
pip install djangorestframework-simplejwt安装，别用过时的PyJWT手动编码解码 - 确保 Django 的
SECRET_KEY足够长（至少 50 字符），它是 JWT 签名密钥的基础 - 不要把
ACCESS_TOKEN_LIFETIME设成几小时以上，短期 token + 刷新机制更安全
如何配置 URL 路由和视图以支持登录/刷新/验证？
DRF-SimpleJWT 提供了开箱即用的 TokenObtainPairView 和 TokenRefreshView，但默认只返回 JSON，不设 HTTP-only Cookie——这点常被忽略，导致 XSS 下 token 泄露风险升高。
实操建议：
- 在
urls.py中注册标准路由：from rest_framework_simplejwt.views import TokenObtainPairView, TokenRefreshView urlpatterns = [ path('api/login/', TokenObtainPairView.as_view(), name='token_obtain_pair'), path('api/token/refresh/', TokenRefreshView.as_view(), name='token_refresh'), ] - 若需 Cookie 方式传递 token（推荐），继承
TokenObtainPairView并重写post方法，手动设置response.set_cookie()，同时禁用响应体中的 token 字段（避免冗余暴露） - 验证 token 是否有效？别用自定义中间件——直接在视图上加
@permission_classes([IsAuthenticated])，DRF 会自动调用SimpleJWTAuthentication
如何让前端在请求头中正确携带 JWT？
常见错误是前端拼错 header 名字，比如写成 Authorization: Bearer <token></token> 却漏了空格，或用了 JWT 前缀（旧版库遗留），而 SimpleJWT 只认 Bearer。
实操建议：
- 确认前端发送的是
Authorization: Bearer eyJ0eXAiOiJKV1QiLCJhbGciOiJIUzI1NiJ9...，注意Bearer后必须有一个空格 - 如果用 axios，统一在 request interceptor 中添加：
axios.defaults.headers.common['Authorization'] = `Bearer ${token}`; - Django 后端若部署在 Nginx 后，要显式透传 header：
proxy_set_header Authorization $http_authorization;，否则HTTP_AUTHORIZATION环境变量为空 - 开发时用 curl 测试最可靠：
curl -H "Authorization: Bearer <token>" http://localhost:8000/api/profile/</token>
为什么用户登出后 token 仍能访问接口？
JWT 本质是无状态的，SimpleJWT 默认不维护黑名单。所谓“登出”，只是前端删掉本地 token；服务端对已签发的 token 依然认可，直到它自然过期。
实操建议：
- 如需强制登出，必须引入 token 黑名单机制：安装
rest_framework_simplejwt.token_blacklist，并在INSTALLED_APPS中启用 - 登出时调用
BlacklistedToken.objects.create(token=refresh_token)，注意是 refresh token，不是 access token - 黑名单表会随时间膨胀，需定期清理：配置
CLEANUP_TOKENS_INTERVAL或用 cron 执行python manage.py flushexpiredtokens - 更轻量的替代方案：缩短
ACCESS_TOKEN_LIFETIME到 5–15 分钟，依赖 refresh token 的短生命周期降低风险
Python免费学习笔记（深入）：立即使用
在学习笔记中，你将探索 Python 的核心概念和高级技巧！
