基于DRF与React实现限时个人访问链接的方案咨询

你的方案是否合理？ #

完全合理，而且非常适配你的小用户量场景：

• 每日仅新增1-2名用户，Django DRF的性能完全够用，不会造成资源浪费
• 用Django Admin生成密钥成本极低，不需要额外开发管理界面，手动操作完全能满足需求
• URL携带密钥的方式简单直接，用户无需额外认证步骤，契合你的需求
• 校验逻辑清晰：后端存储密钥时记录过期时间，前端请求校验接口时，后端只需核对密钥有效性、是否过期即可

唯一需要补充的细节：可以给密钥模型加个「是否已使用」的字段，避免同一密钥被多人重复使用（如果有这个需求的话）。

能否无需后端实现？ #

可以，用Nginx配合简单脚本就能实现，适合纯静态React应用的场景：

• 方案1：Nginx + Lua脚本
  编写Lua脚本解析URL中的密钥，校验密钥的过期时间（可以把过期时间编码进密钥，或者预存在Nginx配置/本地文件中），校验通过则放行，否则返回403。
• 方案2：预生成带签名的限时URL
  用OpenSSL生成包含过期时间的HMAC签名，把签名作为URL的一部分。Nginx配置中使用ngx_http_auth_request_module或直接通过Lua验证签名的有效性和过期时间。

不过这种无后端方案的缺点是：没有可视化的密钥管理界面，生成密钥需要手动执行脚本，灵活性不如后端方案，仅适合用户量极小且不需要频繁调整规则的场景。

有没有现成的Django Rest Framework包可用？ #

有几个可选的包，不过因为你的需求很简单，自己写核心逻辑可能更灵活：

• django-rest-framework-api-key：原本用于API接口的密钥认证，你可以扩展它的模型，添加过期时间字段，实现限时校验
• django-timed-url：专门用于生成限时访问的URL，支持设置过期时间，可直接集成到DRF中
• django-signed-urls：生成带签名和过期时间的URL，签名验证逻辑内置，你可以基于它封装校验接口

如果不想用第三方包，自己写的话也很简单：

1. 创建一个AccessKey模型，包含key（唯一字符串）、expire_at（datetime字段）、is_used（布尔字段）
2. 在Django Admin中注册该模型，方便手动生成密钥
3. 写一个DRF的视图，接收URL中的密钥，查询模型并校验是否有效、未过期、未被使用

内容的提问来源于stack exchange，提问作者StuffHappens