如何从邮箱验证端点返回HttpOnly Cookie形式的Refresh Token

问题原因 #

LOGIN_ON_EMAIL_CONFIRMATION 确实只在allauth默认的邮箱确认模板生效——当用户点击邮件里的链接跳转到后端页面时，才会触发自动登录逻辑。但如果是前端直接调用邮箱验证API端点，默认的ConfirmEmailView只会标记邮箱为已验证，不会生成JWT Token并设置HttpOnly Cookie，所以需要自定义视图补充这部分逻辑。

解决方案：自定义邮箱确认视图 #

1. 编写自定义视图 #

在你的Django项目中创建或修改视图文件（比如accounts/views.py），继承dj_rest_auth的ConfirmEmailView，重写post方法，在验证成功后手动生成Refresh Token并设置Cookie：

from dj_rest_auth.registration.views import ConfirmEmailView
from django.contrib.auth import login
from rest_framework.response import Response
from rest_framework import status
from rest_framework_simplejwt.tokens import RefreshToken
from allauth.account.models import EmailConfirmation

class CustomConfirmEmailView(ConfirmEmailView):
    def post(self, request, *args, **kwargs):
        # 执行默认的邮箱验证逻辑
        response = super().post(request, *args, **kwargs)
        
        if response.status_code == status.HTTP_200_OK:
            # 获取当前验证的用户
            key = kwargs.get('key')
            email_confirmation = EmailConfirmation.objects.confirm(key)
            user = email_confirmation.email_address.user
            
            # 手动登录用户，确保后端会话状态正确
            login(request, user, backend='django.contrib.auth.backends.ModelBackend')
            
            # 生成JWT Refresh Token并设置HttpOnly Cookie
            refresh_token = RefreshToken.for_user(user)
            response.set_cookie(
                'refresh_token',  # 与settings中配置的Cookie名称一致
                str(refresh_token),
                httponly=True,
                secure=True,  # 生产环境启用，本地开发可设为False
                samesite='Lax',  # 跨域场景可设为'None'，需配合secure=True
                max_age=refresh_token.lifetime.total_seconds(),
            )
            
            # 可选：返回Access Token到响应体，前端存入内存即可，无需存Cookie
            response.data = {
                'access': str(refresh_token.access_token),
                'detail': '邮箱验证成功，已自动登录'
            }
        
        return response

2. 替换默认路由 #

在项目的urls.py中，把原来的邮箱验证路由替换为自定义视图：

from django.urls import path
from accounts.views import CustomConfirmEmailView

urlpatterns = [
    # 替换dj_rest_auth默认的邮箱验证路由
    path('account-confirm-email/<str:key>/', CustomConfirmEmailView.as_view(), name='account_confirm_email'),
    # 其他路由...
]

3. 前端请求配置 #

React端调用验证接口时，需要开启withCredentials，确保浏览器能接收并保存HttpOnly Cookie：

import axios from 'axios';

const confirmEmail = async (confirmationKey) => {
  try {
    const response = await axios.post(
      `/api/account-confirm-email/${confirmationKey}/`,
      {},
      { withCredentials: true }
    );
    // 把access token存入前端状态管理（如Redux、Context）
    console.log('验证成功，已自动登录', response.data);
  } catch (error) {
    console.error('邮箱验证失败', error);
  }
};

4. 补充Settings配置（可选） #

确保你的JWT配置与Cookie设置一致，在settings.py中：

from datetime import timedelta

REST_FRAMEWORK = {
    'DEFAULT_AUTHENTICATION_CLASSES': (
        'rest_framework_simplejwt.authentication.JWTAuthentication',
    ),
}

SIMPLE_JWT = {
    'REFRESH_TOKEN_LIFETIME': timedelta(days=7),
    'ACCESS_TOKEN_LIFETIME': timedelta(minutes=15),
    'AUTH_COOKIE': 'refresh_token',  # 要和视图中设置的Cookie名称一致
    'AUTH_COOKIE_HTTPONLY': True,
    'AUTH_COOKIE_SECURE': True,
    'AUTH_COOKIE_SAMESITE': 'Lax',
}

关键说明 #

• 手动调用login()是为了确保用户的认证状态在Django后端被正确标记，避免后续请求出现权限问题。
• 直接在响应中设置Cookie，比依赖LOGIN_ON_EMAIL_CONFIRMATION更灵活，完全适配前端API调用的场景。
• 生产环境务必开启secure=True，确保Cookie只通过HTTPS传输，避免安全风险。

内容的提问来源于stack exchange，提问作者kaan_atakan