如何使用Python Django REST Framework实现JWT认证？-Python教程-PHP中文网

djangorestframework-simplejwt 是 Django REST Framework 中 JWT 认证的唯一推荐方案，需正确安装配置、路由分离、自定义序列化器及生产调优。

djangorestframework-simplejwt 是当前 Django REST Framework 中 JWT 认证的事实标准，djangorestframework-jwt 已停止维护（最后更新于 2019 年），强行使用会导致签名验证失败、AttributeError: 'Settings' object has no attribute 'JWT_AUTH' 等错误，且不兼容 Django 4.2+ 和 Python 3.11+。直接用 djangorestframework-simplejwt，别绕路。

安装与基础配置必须一步到位

只装一个包，别混用旧库：

pip install djangorestframework-simplejwt

在 settings.py 中确认三件事：

rest_framework 和 rest_framework_simplejwt 都在 INSTALLED_APPS 里（后者非必须但推荐）
DEFAULT_AUTHENTICATION_CLASSES 中只保留 'rest_framework_simplejwt.authentication.JWTAuthentication'，删掉所有 JSONWebTokenAuthentication 或其他 JWT 类
不用手动设 SECRET_KEY 给 JWT —— 它自动复用 Django 的 SECRET_KEY，改它就等于改 JWT 签名密钥

路由必须配对且路径清晰

TokenObtainPairView 返回 access + refresh 两个令牌；TokenRefreshView 只接受 refresh 令牌换新 access。二者缺一不可，且不能共用同一 URL：

/api/token/ → POST 用户名密码，返回 {"access":"xxx","refresh":"yyy"}
/api/token/refresh/ → POST {"refresh":"yyy"}，返回新 {"access":"zzz"}
别把 refresh 放在 Authorization 头里 —— 它只认请求体里的 refresh 字段
别漏掉 trailing slash：Django URL 路由严格匹配，/api/token/refresh（无斜杠）会 404

自定义 payload 要重写序列化器，不是改 settings

想往 token 里塞 user.username 或 user.is_staff？不能靠 SIMPLE_JWT 配置项硬加，必须继承 TokenObtainPairSerializer：

from rest_framework_simplejwt.serializers import TokenObtainPairSerializer

class MyTokenObtainPairSerializer(TokenObtainPairSerializer):
    @classmethod
    def get_token(cls, user):
        token = super().get_token(user)
        token['username'] = user.username
        token['is_admin'] = user.is_staff
        return token

再绑定到视图：

python学习

Python 编程学习助手 skill，面向零基础用户。当用户表达以下意图时触发： - 学习 Python 基础概念（变量、数据类型、循环、函数、类等） - 请求 Python 练习题或测验 - 请求审查或调试 Python 代码 - 请求 Python 项目实战指导（爬虫、数据分析、Web 开发等入门项目） - 泛化表述如"教我 Python""我想学编程""Python 怎么写""帮我学 Python" 此 skill

下载

from rest_framework_simplejwt.views import TokenObtainPairView

class MyTokenObtainPairView(TokenObtainPairView):
    serializer_class = MyTokenObtainPairSerializer

然后把 URL 指向这个新视图，而不是原生的 TokenObtainPairView。