React+Django JWT认证下帖子关联用户失败问题咨询

一、先解决当前的核心问题 #

你现在的问题根源是请求没有正确携带JWT令牌，导致Django的JWT认证中间件无法识别用户，所以request.user才显示为匿名用户。先把这个核心问题搞定：

1. Axios请求必须携带Authorization头
   不管你用哪种方式存token，发送POST请求时都要在请求头里按规范带上令牌：

const token = localStorage.getItem('authToken'); // 也可以从Cookie中获取
axios.post('/api/posts/', postData, {
  headers: {
    'Authorization': `Bearer ${token}`
  }
});

注意：JWT的Authorization头格式是Bearer + 空格 + token，格式错误会直接导致认证失败。

2. 修复序列化器的create方法
   你当前的create方法完全忽略了validated_data，只会创建仅包含user字段的空帖子，应该把请求携带的帖子数据和用户关联起来：

class PostSerializer(serializers.ModelSerializer):
    class Meta:
        model = Post
        depth = 1
        fields = '__all__'

    def create(self, validated_data):
        user = self.context['request'].user
        if user.is_anonymous:
            raise serializers.ValidationError("必须登录才能发布帖子")
        # 合并请求数据与用户字段
        return Post.objects.create(**validated_data, user=user)

二、Token存储：localStorage vs Cookie，哪种更合适？ #

没有绝对最优方案，根据你的部署场景和安全需求选择：

1. 使用localStorage的优缺点 #

• 优点：
  • 前端读取便捷，直接通过localStorage.getItem获取
  • 不会随所有请求自动发送，减少不必要的带宽消耗
• 缺点：
  • 易受XSS攻击：如果页面存在XSS漏洞，攻击者可通过JS窃取token
  • 需手动为每个请求添加Authorization头

2. 使用Cookie的优缺点 #

• 优点：
  • 可设置HttpOnly和Secure属性，避免XSS攻击（HttpOnly的Cookie无法被JS读取）
  • 会自动随同域请求发送，无需手动处理请求头
• 缺点：
  • 配置不当易遭CSRF攻击，需配合Django的CSRF防护机制
  • 跨域请求时需额外配置：前端Axios设置withCredentials: true，后端设置Access-Control-Allow-Credentials: true

3. 推荐方案 #

• 前后端同域部署：优先选择HttpOnly + Secure + SameSite=Strict的Cookie存储token，安全性更高且无需手动处理请求头。
• 前后端跨域部署：可使用localStorage，但必须做好XSS防护（如输入校验、CSP策略）；或采用HttpOnly Cookie配合跨域Cookie配置。

三、其他实用解决方法 #

1. Axios全局拦截器自动添加token
   不管用哪种存储方式，都可以通过拦截器自动为所有请求带上Authorization头，避免重复代码：

// 创建Axios实例
const axiosInstance = axios.create({
  baseURL: 'http://你的后端地址/'
});

// 请求拦截器
axiosInstance.interceptors.request.use(config => {
  const token = localStorage.getItem('authToken'); // 或从Cookie获取
  if (token) {
    config.headers.Authorization = `Bearer ${token}`;
  }
  return config;
}, error => {
  return Promise.reject(error);
});

// 后续用该实例发送请求
axiosInstance.post('/api/posts/', postData);

2. 优化Django的JWT配置
   你当前的REST_FRAMEWORK配置没问题，可以补充JWT的具体参数，比如token有效期、Cookie存储相关配置：

from datetime import timedelta

SIMPLE_JWT = {
    'ACCESS_TOKEN_LIFETIME': timedelta(minutes=30),
    'REFRESH_TOKEN_LIFETIME': timedelta(days=1),
    # 若使用Cookie存储token，开启以下配置
    'AUTH_COOKIE': 'access_token',
    'AUTH_COOKIE_SECURE': True, # 生产环境开启，仅HTTPS下使用
    'AUTH_COOKIE_HTTPONLY': True,
    'AUTH_COOKIE_SAMESITE': 'Strict',
}

开启Cookie存储后，登录接口会自动将token写入Cookie，无需前端手动处理。

3. 验证请求是否正确携带token
   在浏览器开发者工具的Network面板中，检查POST请求的Request Headers是否包含Authorization: Bearer xxx：

• 若没有，说明前端未正确传递token；
• 若有，查看Django日志中是否有认证失败的信息，排查token是否过期或格式错误。

内容的提问来源于stack exchange，提问作者zequuee1