Django配置JWT长有效期后React端仍30分钟登出问题求助

问题描述 #

我是WEB开发和认证领域的新手，在Django与React项目中配置JWT认证时遇到问题。已在Django中设置如下配置：

SIMPLE_JWT = {
    'ACCESS_TOKEN_LIFETIME': timedelta(days=10),
    'REFRESH_TOKEN_LIFETIME': timedelta(days=20)
}

但前端React应用仍会在约30分钟后自动断开，需要重新登录（明明设置了10天有效期！）。同时不理解为什么ACCESS_TOKEN_LIFETIME的默认值是5分钟？谁会希望每5分钟重新登录一次？认为自己可能遗漏或误解了某些内容，希望得到帮助，或是了解Django-React应用的其他认证方式。

以下是simplejwt的默认配置供参考：

DEFAULTS = {
    "ACCESS_TOKEN_LIFETIME": timedelta(minutes=5),
    "REFRESH_TOKEN_LIFETIME": timedelta(days=1),
    "ROTATE_REFRESH_TOKENS": False,
    "BLACKLIST_AFTER_ROTATION": False,
    "UPDATE_LAST_LOGIN": False,
    "ALGORITHM": "HS256",
    "SIGNING_KEY": settings.SECRET_KEY,
    "VERIFYING_KEY": "",
    "AUDIENCE": None,
    "ISSUER": None,
    "JSON_ENCODER": None,
    "JWK_URL": None,
    "LEEWAY": 0,
    "AUTH_HEADER_TYPES": ("Bearer",),
    "AUTH_HEADER_NAME": "HTTP_AUTHORIZATION",
    "USER_ID_FIELD": "id",
    "USER_ID_CLAIM": "user_id",
    "USER_AUTHENTICATION_RULE": "rest_framework_simplejwt.authentication.default_user_authentication_rule",
    "AUTH_TOKEN_CLASSES": ("rest_framework_simplejwt.tokens.AccessToken",),
    "TOKEN_TYPE_CLAIM": "token_type",
    "JTI_CLAIM": "jti",
    "TOKEN_USER_CLASS": "rest_framework_simplejwt.models.TokenUser",
    "SLIDING_TOKEN_REFRESH_EXP_CLAIM": "refresh_exp",
    "SLIDING_TOKEN_LIFETIME": timedelta(minutes=5),
    "SLIDING_TOKEN_REFRESH_LIFETIME": timedelta(days=1),
    "TOKEN_OBTAIN_SERIALIZER": "rest_framework_simplejwt.serializers.TokenObtainPairSerializer",
    "TOKEN_REFRESH_SERIALIZER": "rest_framework_simplejwt.serializers.TokenRefreshSerializer",
    "TOKEN_VERIFY_SERIALIZER": "rest_framework_simplejwt.serializers.TokenVerifySerializer",
    "TOKEN_BLACKLIST_SERIALIZER": "rest_framework_simplejwt.serializers.TokenBlacklistSerializer",
    "SLIDING_TOKEN_OBTAIN_SERIALIZER": "rest_framework_simplejwt.serializers.TokenObtainSlidingSerializer",
    "SLIDING_TOKEN_REFRESH_SERIALIZER": "rest_framework_simplejwt.serializers.TokenRefreshSlidingSerializer",
}

预期效果是10天后才需要重新验证密码，而非30分钟。

问题排查方向 #

• 配置未生效检查：确认SIMPLE_JWT配置放在settings.py的正确位置（通常在REST_FRAMEWORK配置之后），且没有被其他后续配置覆盖；检查键名拼写是否完全正确（比如大小写、下划线），确保timedelta已经正确导入from datetime import timedelta。
• 前端存储问题：如果React端将token存在sessionStorage中，浏览器会话默认会在30分钟无操作后过期，或关闭页面后失效。建议改用localStorage存储（但注意XSS风险），或者将refresh token存在HttpOnly Cookie中更安全。
• 时间同步问题：检查服务器与客户端的系统时间差，如果客户端时间比服务器快过多，会导致token被提前判定为过期。确保双方时间同步在合理范围内（比如±5分钟）。
• Django中间件/权限干扰：检查Django的INSTALLED_APPS和MIDDLEWARE配置，确认没有其他认证中间件（如SessionAuthentication）与JWT认证冲突；同时检查DRF的DEFAULT_AUTHENTICATION_CLASSES是否只包含rest_framework_simplejwt.authentication.JWTAuthentication，或顺序是否正确。

关于默认5分钟AccessToken的说明 #

默认5分钟是安全最佳实践：短生命周期的access token即使泄露，被恶意利用的窗口时间极短。配合refresh token（默认1天），前端可以在access token过期前自动调用refresh接口获取新的access token，用户无需手动重新登录。直接设置10天access token会大幅提升泄露风险，不建议在生产环境使用。

替代认证方案 #

• Session认证：Django自带的session+CSRF机制，适合同域场景。React端通过axios配置withCredentials: true即可自动携带session cookie，无需手动处理token。
• DRF Token认证：使用rest_framework.authentication.TokenAuthentication，配置简单，但无自动刷新机制，适合小型或低安全要求的项目。
• OAuth2.0：通过django-oauth-toolkit实现，支持第三方登录、权限细分等复杂场景，适合大型应用或多客户端场景。
• HttpOnly Cookie存储JWT：将refresh token存在HttpOnly、Secure的Cookie中（避免XSS窃取），access token存在内存或localStorage。前端在access token过期前，用refresh token自动请求新的access token，兼顾安全与用户体验。

内容的提问来源于stack exchange，提问作者Ofir