Django练习项目JWT验证疑问：是否需每次API调用验证及最优方式

是否必须对每个API调用都验证JWT？ #

不是所有API都需要，但所有涉及用户身份、需要权限控制的业务API必须验证JWT。比如用户提交评论、修改个人信息这类接口，必须验证token确保请求来自合法授权用户；而像首页公开内容、商品列表这类无需身份的公开接口，可以跳过验证，提升访问效率。

哪种token验证方式更合理？ #

直接在后端业务API的认证流程中统一处理验证，是标准且更高效的方案，完全不“奇怪”，反而能避免冗余请求和潜在的安全问题：

• 前端先调验证接口再调业务API的问题：

  • 多一次HTTP请求，增加整体响应延迟，影响用户体验；
  • 前端验证token有效后，到调用业务API的间隙，token可能已过期、被后端吊销（比如用户登出），此时业务API仍会返回未授权错误，前端的预验证完全无效；
  • 额外增加前端逻辑复杂度，需要处理两次请求的回调或异步流程。

• 后端业务API统一验证的优势：

  • Django + simplejwt 本身就提供了成熟的全局认证机制，不需要每个API手动写验证逻辑。你可以在settings.py中配置DRF的默认认证类：

    REST_FRAMEWORK = {
        'DEFAULT_AUTHENTICATION_CLASSES': (
            'rest_framework_simplejwt.authentication.JWTAuthentication',
        ),
    }
    

    这样所有API请求都会自动验证请求头中的JWT（通常是Authorization: Bearer <你的token>），验证通过才会进入业务逻辑。
  • 前端只需通过axios的请求拦截器，全局给需要认证的请求自动带上token头，不用每个请求手动处理：

    axios.interceptors.request.use(config => {
        const token = localStorage.getItem('access_token');
        if (token) {
            config.headers.Authorization = `Bearer ${token}`;
        }
        return config;
    });
    

  • 对于无需验证的公开接口，只需单独设置权限类为AllowAny即可，比如：

    from rest_framework.permissions import AllowAny
    from rest_framework.views import APIView
    
    class PublicGoodsListView(APIView):
        permission_classes = [AllowAny]
        # 业务逻辑...
    

举个实际场景的正确流程 #

当用户点击提交评论时：

1. 前端收集评论内容，调用写评论的API；
2. axios自动在请求头中带上存储的JWT；
3. 后端通过JWTAuthentication自动验证token的有效性（是否过期、签名是否合法等）；
4. 验证通过：处理评论写入逻辑，返回成功响应；
5. 验证失败：直接返回401（未授权）或403（权限不足），前端收到后跳转登录页或提示用户重新登录。

内容的提问来源于stack exchange，提问作者H Lim