Vue+Django鉴权问题：验证Token与用户ID匹配及防范本地存储篡改

一、直接在鉴权逻辑中关联Token与用户ID #

完全可以让请求头同时携带token和user_id，这是解决当前越权问题的直接方案，且不会带来额外性能开销——核心是复用现有鉴权流程的查询结果，无需单独调用Token验证接口。

实现步骤 #

1. 前端调整：每次请求时，从localStorage取出token和user_id，分别放入请求头（例如Authorization: Token <token>和X-User-ID: <user_id>）。
2. 后端自定义鉴权逻辑：
   如果使用Django REST Framework（DRF）的TokenAuthentication，可以扩展一个认证类，在原有校验基础上增加用户ID匹配：

   from rest_framework.authentication import TokenAuthentication
   from rest_framework.exceptions import AuthenticationFailed
   
   class TokenAndUserIDAuth(TokenAuthentication):
       def authenticate(self, request):
           # 先完成原有Token校验，拿到关联用户
           auth_result = super().authenticate(request)
           if not auth_result:
               return None
           user, token = auth_result
           
           # 从请求头获取传入的用户ID
           req_user_id = request.headers.get('X-User-ID')
           if not req_user_id:
               raise AuthenticationFailed('缺少用户ID标识')
           
           # 校验Token所属用户与传入ID是否一致
           if str(user.id) != req_user_id:
               raise AuthenticationFailed('Token与用户ID不匹配')
           
           return (user, token)
   

   • 在项目settings中配置该自定义认证类：

   REST_FRAMEWORK = {
       'DEFAULT_AUTHENTICATION_CLASSES': [
           'your_app.authentication.TokenAndUserIDAuth',
           # 保留其他需要的认证类
       ]
   }
   

   若未使用DRF，自定义中间件的逻辑一致：从请求头取token和user_id，查询Token关联的用户，对比ID是否匹配即可。

性能说明 #

该方案复用了Token校验时已有的数据库查询（查询Token对应的用户），仅增加了一次字符串对比操作，几乎无额外性能开销，无需担心重复操作问题。

二、防范/检测localStorage用户ID篡改 #

前端存储的数据可被任意篡改，核心安全必须依赖后端校验，前端仅能做辅助检测：

• 前端签名校验：将token + user_id + 前端专属密钥做哈希（如SHA256），把签名和token、user_id一起存入localStorage。每次请求前重新计算签名，与存储值对比，不一致则判定篡改并阻止请求。注意：前端密钥可能被反编译获取，仅能提高篡改成本，不能替代后端校验。
• 后端异常日志：记录每次请求的token、user_id、IP、UA等信息，若发现同一token多次请求不同user_id，直接标记为可疑请求，触发告警或封禁该token。

三、标准鉴权流程与安全要点 #

规范流程 #

1. 用户登录：前端提交账号密码，后端验证后生成token，返回token和user_id（若用JWT，token本身可包含user_id）。
2. 前端存储：将token和user_id存入localStorage或sessionStorage（按需选择）。
3. 请求携带：每次接口请求时，将token和user_id放入请求头传递。
4. 后端校验：
   • 验证token有效性（未过期、未被吊销）；
   • 验证token所属用户与请求的user_id一致；
   • 验证用户是否有权限访问目标资源（如用户A不能访问用户B的私有数据）。

核心安全要点 #

• 绝对不信任前端数据：所有身份、权限相关的校验必须在后端完成，前端传递的任何标识仅作辅助，不能作为判定依据。
• 优先使用JWT替代普通Token：JWT的Payload可直接包含user_id等信息，后端解析后即可获取用户ID，无需前端单独传递；且JWT自带签名，能防止篡改。推荐使用DRF的djangorestframework-simplejwt扩展实现。
• 完善Token生命周期管理：设置合理的过期时间（短有效期access token + 长有效期refresh token），提供Token吊销接口，用户退出或异常时立即失效token。
• 强制HTTPS传输：所有请求必须使用HTTPS，防止token和user_id被中间人劫持。
• 避免URL传递敏感信息：token、user_id等敏感数据必须通过请求头传递，防止被日志记录或泄露。
• 前端存储防护：敏感场景优先用HttpOnly Cookie存储token（需处理跨域），避免XSS攻击窃取；使用localStorage时，必须做好XSS防护（如转义用户输入、配置内容安全策略CSP）。

内容的提问来源于stack exchange，提问作者crawlingdev