Django邮箱验证实现遇token校验失败问题求助

问题原因 #

你使用的PasswordResetTokenGenerator是Django专为密码重置场景设计的，它生成Token时会结合用户的密码哈希值、last_login和is_active状态。一旦这些字段在生成Token后发生变化（哪怕是验证过程中修改is_active之前），或者Token生成与验证时的用户状态不一致，就会导致check_token返回False。此外，该生成器的逻辑并不完全适配邮箱验证的需求。

解决方案 #

1. 自定义邮箱验证专用Token生成器 #

替换原有的CustomPasswordResetTokenGenerator，使用基于BaseTokenGenerator的自定义实现，只依赖邮箱验证场景下稳定的用户字段：

from django.contrib.auth.tokens import BaseTokenGenerator
import six

class EmailVerificationTokenGenerator(BaseTokenGenerator):
    # 自定义盐值，避免与其他Token生成器冲突
    key_salt = "user_management.tokens.EmailVerificationTokenGenerator"
    # 设置Token有效期，例如1天（单位：秒）
    timeout = 86400

    def _generate_hash_value(self, user, timestamp):
        # 结合用户ID、邮箱、激活状态和时间戳生成哈希，确保Token仅在必要时失效
        return (
            six.text_type(user.pk) + six.text_type(timestamp) +
            six.text_type(user.email) + six.text_type(user.is_active)
        )

# 生成单例实例
token_generator = EmailVerificationTokenGenerator()

2. 检查验证流程中的用户状态 #

确保在生成Token时，用户的is_active为False，且在调用check_token之前，该状态没有被其他逻辑提前修改（比如误操作激活了用户）。

3. 安全拼接验证URL #

在send_verification_email中，改用QueryDict安全拼接参数，避免特殊字符转义导致Token失效：

from django.core.mail import send_mail
from django.urls import reverse
from django.http import QueryDict
from user_management.utils import token_generator

def send_verification_email(user, request):
    token = token_generator.make_token(user)
    # 使用QueryDict安全拼接参数
    query_params = QueryDict(mutable=True)
    query_params["token"] = token
    query_params["email"] = user.email
    verification_url = request.build_absolute_uri(
        f"{reverse('verify_email')}?{query_params.urlencode()}"
    )
    send_mail(
        "Verify your email",
        f"Click the link to verify your email: {verification_url}",
        "no-reply@example.com",
        [user.email],
        fail_silently=False,
    )

4. 确保Token实例一致性 #

确认生成和验证Token时使用的是同一个token_generator实例，避免在多个模块重复定义，统一从user_management.utils导入该实例。

内容的提问来源于stack exchange，提问作者Daniel