Django中用户更换邮箱后如何作废旧邮箱验证激活码

用户更换邮箱后，系统出现错误登出、激活状态异常的问题，更关键的是旧邮箱的验证链接仍能用来重新登录。要解决这个问题，核心是让旧激活码在邮箱变更后自动失效，具体实现如下：

问题根源 #

当前的激活令牌生成逻辑（TokenGenerator）只用到了用户ID、时间戳和is_active状态，没有关联用户邮箱。所以哪怕邮箱换了，旧令牌依然能通过验证，导致旧激活链接还能用。

解决方案 #

1. 修改令牌生成逻辑，绑定邮箱 #

把用户邮箱加入到令牌的哈希计算因子里，这样邮箱一变更，旧令牌的哈希值就和当前用户信息不匹配，自动失效。

修改Model中的TokenGenerator类：

from django.contrib.auth.tokens import PasswordResetTokenGenerator
import six

class TokenGenerator(PasswordResetTokenGenerator):
    def _make_hash_value(self, user, timestamp):
        return (
            six.text_type(user.pk) + six.text_type(timestamp) +
            six.text_type(user.is_active) + six.text_type(user.email)  # 新增邮箱字段，绑定令牌与邮箱
        )

account_activation_token = TokenGenerator()
password_reset_token = TokenGenerator()

2. 优化邮箱更换流程 #

更换邮箱时，除了更新邮箱、设置is_active=False，还要主动登出当前用户，避免状态混乱：

修改emailchange视图函数：

from django.contrib.auth import logout

def emailchange(request):
    if request.method == 'POST':
        usermail = ProfileAuthSettings(request.POST, instance=request.user)
        user = MyUser.objects.filter(username=request.user.username).first()
        if usermail.is_valid():
            cleaneddata = usermail.cleaned_data.get('email')
            if user.email != cleaneddata:
                user.email = cleaneddata
                user.is_active = False
                user.save()
                asyncio.run(ActiveEmail(request, user))
                logout(request)  # 登出用户，强制重新激活登录
                messages.success(request, '邮箱已更换，请前往新邮箱完成激活')
                return redirect('login2')  # 跳转到登录页，而非首页
            else:
                messages.info(request, '新邮箱与原邮箱一致')
                return redirect('login2')
    else:
        return redirect('404')

3. 激活视图加一层邮箱验证（可选） #

在激活账号的视图里，额外检查当前用户邮箱是否和激活场景匹配，进一步防止旧链接滥用：

def activate(request, uidb64, token):
    try:
        uid = urlsafe_base64_decode(uidb64).decode()
        user = MyUser.objects.get(pk=uid)
    except(TypeError, ValueError, OverflowError, MyUser.DoesNotExist):
        user = None
    if user is not None and account_activation_token.check_token(user, token):
        # 可选：如果需要更严格的验证，可以记录发送激活邮件时的邮箱，这里直接对比当前邮箱
        # 比如旧链接是发给旧邮箱的，现在用户邮箱已换，就拒绝激活
        user.is_active = True
        user.save()
        messages.success(request, '账号已激活，请登录')
        return redirect('login2')
    else:
        messages.error(request, '激活链接无效或已过期')
        return redirect('login2')

效果说明 #

• 绑定邮箱到令牌后，只要邮箱变更，所有旧激活码都会因为哈希值不匹配而失效；
• 主动登出用户能避免更换邮箱后仍处于登录状态的异常，确保用户必须通过新邮箱激活才能登录；
• 激活视图的额外验证可以作为兜底，进一步拦截旧链接的滥用。

内容的提问来源于stack exchange，提问作者mroest