使用dj_rest_auth实现Django REST社交登录后，调用需认证API时用户认证失败求助

看起来你已经把社交登录的核心流程跑通了——能拿到Google的token、后端能创建用户并返回自己的token，但就在用这个token调用认证接口时卡壳了。我之前也遇到过类似的问题，给你几个具体的排查方向：

1. 先确认后端的认证类全局配置 #

首先检查你的settings.py里的REST_FRAMEWORK配置，是否把对应的认证类加入到默认列表中了：

• 如果用的是TokenAuthentication（dj_rest_auth默认的token模式），要确保：

  REST_FRAMEWORK = {
      'DEFAULT_AUTHENTICATION_CLASSES': [
          'rest_framework.authentication.TokenAuthentication',
          # 其他你需要的认证类
      ],
  }
  

  同时确认rest_framework.authtoken已经在INSTALLED_APPS里，并且执行过python manage.py migrate生成了authtoken数据表。
• 如果用的是JWT（需要额外安装djangorestframework-simplejwt），要开启JWT支持：

  REST_USE_JWT = True
  REST_FRAMEWORK = {
      'DEFAULT_AUTHENTICATION_CLASSES': [
          'rest_framework_simplejwt.authentication.JWTAuthentication',
      ],
  }
  

  这时候你从社交登录接口拿到的access_token是JWT格式，请求头要用Bearer <token>。

2. 验证你拿到的Token类型和有效性 #

• 先搞清楚/api/social/login/google/返回的token是什么类型：
  • 如果是TokenAuthentication的token，去Django后台的Tokens表（或直接查数据库authtoken_token表），看看是否存在你拿到的那个token，并且关联的用户是正确的。
  • 如果是JWT token，你可以在后端用jwt.decode工具解码验证，比如：

    import jwt
    from django.conf import settings
    
    token = "你拿到的access_token"
    try:
        payload = jwt.decode(token, settings.SECRET_KEY, algorithms=["HS256"])
        print(payload)  # 能解码成功说明token有效
    except jwt.ExpiredSignatureError:
        print("token过期了")
    except jwt.InvalidTokenError:
        print("无效token")
    

• 你说试过把Bearer改成Token还是不行，那可以先在测试视图里打印请求头，确认后端是否真的收到了：

  @api_view(['GET']) 
  def test_view(request): 
      print("Authorization头:", request.META.get('HTTP_AUTHORIZATION'))
      # 其他代码
  

  如果打印出来是空的，那大概率是跨域配置的问题，导致请求头没传过来。

3. 检查跨域（CORS）配置 #

因为你的客户端是Next.js，后端是Django，跨域请求下需要确保django-cors-headers配置正确：

• 确认CORS_ALLOW_HEADERS包含Authorization（默认应该包含，但如果自定义了这个配置要检查）：

  CORS_ALLOW_HEADERS = [
      'authorization',
      # 其他允许的头
  ]
  

• 确认CORS_ALLOW_CREDENTIALS = True（如果你的请求需要携带凭证的话，虽然这里用的是header传token，但开启这个更稳妥）。

4. 简化视图的认证类测试 #

你当前的视图加了三个认证类：SessionAuthentication, BasicAuthentication, TokenAuthentication。认证是按顺序执行的，前面的认证类可能会干扰后面的验证逻辑。你可以暂时只保留需要的认证类来测试：

@api_view(['GET']) 
@authentication_classes([TokenAuthentication])  # 只保留Token认证
@permission_classes([IsAuthenticated]) 
def test_view(request): 
  # 你的代码

如果这样能成功，再逐步加回其他认证类排查冲突。

5. 检查dj_rest_auth的社交登录配置 #

确认settings.py里的社交登录相关配置没有问题，比如：

• 是否正确配置了SOCIALACCOUNT_PROVIDERS里的Google参数？
• 有没有自定义SocialLoginSerializer或相关序列化器，导致token生成逻辑异常？
• 如果用JWT的话，是否配置了JWT_AUTH相关的参数，比如过期时间等？

先从上面这几个方向入手排查，应该能找到问题所在。

内容的提问来源于stack exchange，提问作者mayk93