Django中JWT令牌过期后仍可访问API的问题求助

可能的原因 #

• 时区配置偏差：simplejwt基于UTC时间判断令牌过期，若Django时区设置与服务器实际时区不匹配，会导致过期时间计算错误。比如服务器本地时间比UTC晚，令牌实际未到过期节点，但你误以为已过期。
• 认证/权限逻辑未生效：虽然视图声明了IsAuthenticated权限类，但可能存在全局配置与视图局部配置冲突，或是DRF_API_LOGGER这类中间件干扰了认证流程，导致令牌过期校验未被执行。
• 测试令牌不一致：测试TokenVerify和StudentAPI时可能误用了不同令牌，比如误使用新生成的有效令牌，导致出现矛盾结果。
• 缓存保留了旧认证状态：若Django启用了缓存，认证结果被意外缓存，会导致过期令牌的无效状态未被及时更新。

解决办法 #

1. 修正时区配置 #

在settings.py中确保时区设置正确，让Django与simplejwt的时间计算逻辑统一：

TIME_ZONE = 'Asia/Shanghai'  # 替换为你所在的时区
USE_TZ = True

2. 验证认证流程是否正常执行 #

在StudentAPI的student方法中添加调试代码，确认认证逻辑是否触发：

def student(self, request, *args, **kwargs):
    # 手动触发认证，检查是否抛出过期异常
    try:
        self.authenticate(request)
    except Exception as e:
        print(f"认证失败: {str(e)}")
        return Response({"success": False, "error": str(e)}, status=status.HTTP_401_UNAUTHORIZED)
    print('hello1')
    print(f"当前用户: {request.user}")
    return Response({"success": True}, status=status.HTTP_200_OK)

如果手动认证抛出令牌过期类异常，说明视图的权限类未被正确应用，需检查REST_FRAMEWORK配置中是否存在优先级更高的认证/权限类，或是视图的permission_classes被意外覆盖。

3. 确保测试使用同一令牌 #

测试时复制同一个过期令牌，分别调用/token/verify/和/api/student/，确认两次请求的令牌完全一致，避免因误操作使用有效令牌导致的误判。

4. 排查中间件干扰 #

暂时注释掉DRF_API_LOGGER相关配置，重启服务后再次测试。若问题解决，需调整日志中间件的执行顺序，确保认证中间件先于日志中间件运行。

5. 检查缓存配置 #

若启用了Django缓存，可暂时切换为 dummy 缓存测试：

CACHES = {
    'default': {
        'BACKEND': 'django.core.cache.backends.dummy.DummyCache',
    }
}

确认是否是缓存保留了旧的认证状态导致问题。

内容的提问来源于stack exchange，提问作者Vaibhav Dhawale