React+Django用户令牌认证与存储最优安全方案咨询

一、安全优先的令牌认证方案（兼顾用户体验） #

结合你的跨域场景，推荐以下实现思路：

• 核心令牌存储：将访问令牌存入带HttpOnly、Secure、SameSite=None属性的Cookie中。跨域下必须设置SameSite=None，同时强制Secure（仅HTTPS传输），彻底避免XSS攻击窃取访问令牌；
• CSRF防护：启用Django CSRF机制，前端从Cookie中读取CSRF令牌（需前端配置允许读取Cookie），并在后续POST/PUT/DELETE请求的X-CSRFToken头中携带该值；
• 刷新令牌处理：将刷新令牌存入独立的HttpOnly、Secure、SameSite=None Cookie中。当访问令牌过期时，前端调用专门的刷新接口（需携带CSRF令牌），后端验证刷新令牌后返回新的访问令牌并更新Cookie；
• 否决Redux+LocalStorage方案：LocalStorage易受XSS攻击导致令牌泄露，即使搭配Redux也无法规避该风险，安全性远低于HttpOnly Cookie方案。

二、Knox中ensure_csrf_cookie不生效的解决办法 #

Knox默认使用TokenAuthentication，而ensure_csrf_cookie是为Django原生Session认证设计的，直接使用会出现不生效的情况，可通过以下方式解决：

1. 手动在登录接口设置CSRF Cookie
   自定义Knox登录视图，主动生成并配置符合跨域要求的CSRF Cookie：

   from django.middleware.csrf import get_token
   from rest_framework.response import Response
   from knox.views import LoginView as KnoxLoginView
   
   class CustomLoginView(KnoxLoginView):
       def post(self, request, format=None):
           # 生成CSRF令牌
           get_token(request)
           # 执行Knox原生登录逻辑
           response = super().post(request, format=None)
           # 配置CSRF Cookie的跨域属性
           response.set_cookie(
               'csrftoken',
               request.META['CSRF_COOKIE'],
               secure=True,
               samesite='None',
               httponly=False  # 必须设为False，否则前端无法读取令牌
           )
           return response
   

2. 配置Django CORS允许携带凭证
   在settings.py中开启跨域凭证支持并指定前端域名：

   CORS_ALLOW_CREDENTIALS = True
   CORS_ALLOWED_ORIGINS = [
       "https://your-react-domain.com",  # 替换为实际前端域名
   ]
   

3. 前端请求配置
   发起请求时需开启凭证携带（以Axios为例）：

   axios.post('/api/login', loginData, { withCredentials: true })
   

内容的提问来源于stack exchange，提问作者Ran123