Django PasswordResetConfirmView密码重置表单渲染显示None

问题成因 #

Django内置PasswordResetConfirmView自带严格的令牌校验逻辑，只有URL中携带的uidb64（用户ID的base64编码值）、token（密码重置令牌）同时满足「未篡改、未过期、未被使用、对应用户存在」几个条件时，视图才会实例化密码修改表单传入模板上下文。只要任意校验环节不通过，视图传递给模板的form变量值就是None，这是渲染时直接显示None的核心原因。

常见触发校验失败的场景：

• URL配置遗漏末尾斜杠，或路由参数规则写错，导致视图拿到的uidb64、token是截断的错误值
• 重置邮件中的链接拼接错误，uidb64或token存在转义错误、值不全的问题
• 重置链接已过期：Django默认重置令牌有效期为7天，过期自动失效
• 重置链接已被使用过：Django密码重置令牌是一次性的，提交新密码后立即作废
• 视图的重定向流程被拦截：PasswordResetConfirmView首次校验令牌合法后，会先返回302重定向到同路径下、令牌替换为会话绑定临时标识的地址，再渲染表单，如果这个重定向被中间件、前端路由规则拦截，表单也无法正常生成
• 测试时手动在地址栏输入伪造的uidb64、token值访问，本身令牌就不合法。

修复步骤 #

1. 修正URL路由配置，给路径补上末尾斜杠，不要修改<uidb64>/<token>的参数写法，参考配置：

path('password_reset_confirm/<uidb64>/<token>/', 
    PasswordResetConfirmView.as_view(
        template_name='user_account/reset_password/password_reset_confirm.html',
        success_url='/account/password_reset_complete/'),
    name="password_reset_confirm"),

2. 确保重置邮件的链接生成逻辑正确，不要手动拼接URL，用reverse方法配合路由名生成，避免参数错误：

from django.urls import reverse
# 生成绝对路径的重置链接
reset_link = request.build_absolute_uri(
    reverse('password_reset_confirm', kwargs={
        'uidb64': uidb64,
        'token': token
    })
)

3. 测试时重新走完整的密码重置流程：进入重置页输入邮箱→查收新发送的邮件→点击邮件内的全新链接访问，不要复用旧链接。如果需要调整令牌有效期，在项目settings.py中添加配置即可，单位为秒：

# 示例：设置令牌有效期为24小时
PASSWORD_RESET_TIMEOUT = 60 * 60 * 24

4. 给模板增加校验失败的兼容分支，避免直接显示None，同时给用户明确的操作提示：

<form class="login-form p-4 rounded" method="post">
   {% csrf_token %}
  <h1 class="h4 mb-4 font-weight-bold">Change your password</h1>
  {% if form %}
      <p>Use the form below to change your password.</p>
      {{ form|crispy }}
      <button type="submit" value="Change">
        Submit
     </button>
  {% else %}
      <p>当前密码重置链接无效或已过期，请重新发起密码重置申请。</p>
      <a href="{% url 'password_reset' %}">前往重置密码页</a>
  {% endif %}
</form>

5. 排查项目中间件、前端路由配置，不要拦截该视图的302重定向逻辑：正常访问合法链接时，地址栏里的token段会自动替换为set-password字样，属于正常流程，无需拦截。

内容的提问来源于stack exchange，提问作者ichi