DRF+Simple JWT令牌异常：修改令牌仍可通过认证的疑问

关于修改Access令牌后仍有效的问题 #

这绝对不是正常行为，说明你的API没有正确验证JWT的签名有效性，核心原因大概率是DRF未配置Simple JWT的认证逻辑。

你的两个疑问解答 #

1. 删除并重建数据库后，旧令牌是否仍有效？
   JWT是无状态令牌，验证过程默认不依赖数据库。只要旧令牌未过期且签名验证通过，即使数据库重建，令牌本身会被视为“有效”——但当API尝试根据令牌中的user_id查询用户时，如果新数据库中不存在对应用户，会返回401未授权。如果你希望令牌随数据库重建失效，需要开启Simple JWT的黑名单功能（需配置缓存或数据库存储黑名单）。

2. 修改Access令牌后，只要结构合法就能通过认证？
   完全不是。JWT的核心安全机制就是签名验证：令牌的签名部分是由Header、Payload和密钥加密生成的，任何对Header、Payload或签名部分的篡改，都会导致签名验证失败，令牌应该被直接拒绝。出现你描述的情况，必然是认证流程存在漏洞。

排查与修复步骤 #

1. 检查DRF认证配置
   确保settings.py中添加了Simple JWT的认证类，否则API根本不会验证JWT令牌：

REST_FRAMEWORK = {
    'DEFAULT_AUTHENTICATION_CLASSES': [
        'rest_framework_simplejwt.authentication.JWTAuthentication',
        # 保留你需要的其他认证类，比如SessionAuthentication
    ],
    # 若需要全局强制认证，可添加：
    # 'DEFAULT_PERMISSION_CLASSES': [
    #     'rest_framework.permissions.IsAuthenticated',
    # ],
}

2. 确认视图权限配置
   确保你的API视图应用了权限控制，比如：

from rest_framework.permissions import IsAuthenticated
from rest_framework.views import APIView

class YourAPIView(APIView):
    permission_classes = [IsAuthenticated]  # 必须持有有效令牌才能访问
    # ...

3. 验证签名有效性
   将修改后的令牌拿到jwt.io（本地操作，无需担心数据安全），输入你的Django项目SECRET_KEY，查看签名是否显示“Invalid Signature”。如果显示有效，可能是你修改的字符在Base64URL编码中属于等价替换（这种情况极罕见），但更可能是你使用的密钥有误。

4. 检查Simple JWT配置
   Simple JWT默认使用Django的SECRET_KEY作为签名密钥，确保该密钥未被意外修改，且保持固定（频繁修改会导致所有旧令牌失效）。

内容的提问来源于stack exchange，提问作者SLATER