怎么在Python中为Django的API实现JWT双Token无感刷新？-Python教程-PHP中文网

单token方案无法兼顾安全与体验：设短则频繁掉登录，设长则泄露风险高；双token将安全（短时access token）与体验（长时refresh token可主动作废）分离。

怎么在python中为django的api实现jwt双token无感刷新？

为什么不能只用一个 JWT Token？

单 Token 方案下，access_token 过期后前端必须跳转登录页或弹窗要求重新认证——这直接破坏“无感刷新”体验。JWT 本身无状态，服务端无法主动使 access_token 失效，所以必须引入 refresh_token 作为受控的续期凭证：它生命周期长、仅用于换取新 access_token、且可被服务端主动作废（比如存入 Redis 或数据库黑名单）。

refresh_token 必须 HttpOnly + Secure + SameSite=Strict（防止 XSS 窃取）
access_token 可以放在 Authorization Header（Bearer xxx），但有效期建议 ≤15 分钟
刷新接口（如 /api/token/refresh/）不应返回新 refresh_token，除非显式轮换策略（否则会无限延长用户登录态）

Django REST Framework 中如何安全存储和验证 refresh_token？

DRF 默认不处理 refresh_token 生命周期管理，必须自己补全。推荐用 Redis 存储，键为 refresh:{user_id}:{jti}，值为过期时间戳或空字符串（表示已注销），TTL 设为 refresh_token 的有效期（如 7 天）。

不要把 refresh_token 存进数据库主表（如 User 模型），避免拖慢认证流程
验证时先检查 Redis 中是否存在对应 jti（JWT 标准字段，需在签发时写入），再校验签名和过期时间
若使用 djangorestframework-simplejwt，需重写 TokenRefreshSerializer 的 validate() 方法，在其中调用 Redis 查询逻辑

from rest_framework_simplejwt.serializers import TokenRefreshSerializer
from django_redis import get_redis_connection
<p>class CustomTokenRefreshSerializer(TokenRefreshSerializer):
def validate(self, attrs):
data = super().validate(attrs)
jti = self.token_class(attrs['refresh']).get('jti')
user_id = self.token_class(attrs['refresh']).get('user_id')
redis = get_redis_connection("default")
if not redis.exists(f"refresh:{user_id}:{jti}"):
raise serializers.ValidationError('Refresh token is invalid or revoked.')
return data</p>

前端怎么触发刷新又不打断用户操作？

关键不是“自动刷新”，而是“静默拦截 401 并重试原请求”。前端 Axios 拦截器需实现：

所有请求失败且响应状态为 401 时，先尝试用当前 refresh_token（从 HttpOnly Cookie 读取）调用 /api/token/refresh/
刷新成功后，用新 access_token 重放原始请求（注意：仅重放一次，避免循环）
刷新失败（如 403 或网络错误），才清空本地状态并跳登录页
不要在页面加载时预刷新 access_token（浪费请求、增加首屏延迟）
不要将 refresh_token 暴露给 JavaScript（禁用 document.cookie 读取，靠后端 Set-Cookie 设置）

Token Analyzer
基于官方 GMGN API 的代币分析工具。通过合约地址查询代币在 SOL/BSC/Base 链上的准确市场数据、安全检测、KOL 分析、开发者分析和 AI 智能分析（叙事/筹码/老鼠仓/机器人）。支持自动识别链。

下载
如果用 fetch，需配置 credentials: 'include' 才能携带 Cookie