DRF对接NextJS+Axios始终返回未认证问题求助

核心排查方向 #

1. 跨域请求未携带Cookie #

Postman会自动管理并发送Cookie，但Axios默认不会在跨域请求中携带Cookie，这是最常见的原因：

• 前端Axios必须开启withCredentials：

  // 全局或实例化Axios时配置
  const api = axios.create({
    baseURL: '你的API域名',
    withCredentials: true // 必须设置这个才能携带Cookie
  });
  

• 后端Django需配置CORS允许携带凭证：

  # settings.py
  INSTALLED_APPS = [
      # ...
      'corsheaders', # 确保已安装并注册corsheaders
  ]
  
  MIDDLEWARE = [
      # ...
      'corsheaders.middleware.CorsMiddleware', # 放在CommonMiddleware之前
      'django.middleware.common.CommonMiddleware',
  ]
  
  CORS_ALLOW_CREDENTIALS = True
  CORS_ALLOWED_ORIGINS = [
      "http://localhost:3000", # 前端开发环境地址
      "https://你的生产前端域名",
  ]
  

2. 认证方式不匹配 #

如果后端用Token认证而非Session，前端没带Token也会导致未认证：

• 检查后端DRF认证配置：

  # settings.py
  REST_FRAMEWORK = {
      'DEFAULT_AUTHENTICATION_CLASSES': [
          'rest_framework.authentication.SessionAuthentication',
          'rest_framework.authentication.TokenAuthentication',
      ]
  }
  

• 前端请求时需在Header里带Token：

  api.get('/check/', {
    headers: {
      'Authorization': `Token ${用户登录后获取的Token}`
    }
  });
  

3. 视图未使用DRF的APIView #

普通Django视图可能无法正确处理DRF的认证上下文，建议改用DRF的APIView：

# views.py
from rest_framework.views import APIView
from rest_framework.response import Response

class CheckAuthView(APIView):
    def get(self, request):
        if request.user.is_authenticated:
            return Response({
                'response': '用户已认证',
                'name': request.user.name,
                'email': request.user.email,
                'phone_number': request.user.phone_number,
                'id_user': request.user.id_user,
                'passed_kyc': request.user.passed_kyc
            })
        return Response({'response': '用户未认证'})

然后更新路由配置：

# urls.py
path('check/', CheckAuthView.as_view(), name='check-auth')

4. Cookie的SameSite属性限制 #

浏览器的SameSite策略可能阻止跨域Cookie发送，调整后端Cookie设置：

# settings.py
SESSION_COOKIE_SAMESITE = 'Lax' # 允许跨域GET请求携带Cookie
# 如果是HTTPS生产环境，可设置为None并开启Secure
# SESSION_COOKIE_SAMESITE = 'None'
# SESSION_COOKIE_SECURE = True

快速排查步骤 #

1. 用浏览器开发者工具查看Network请求的Headers，确认前端是否携带了认证Cookie/Token
2. 检查后端CORS配置是否允许前端域名并开启了凭证支持
3. 验证视图是否正确处理DRF的认证逻辑

内容的提问来源于stack exchange，提问作者Daevid The Great