Django自定义账户激活令牌生成器与默认PasswordResetTokenGenerator的区别

为什么教程建议单独自定义账户激活令牌生成器 #

1. 两者的默认失效逻辑完全不同 #

Django内置的PasswordResetTokenGenerator的_make_hash_value默认拼接了用户密码哈希、最后登录时间、用户ID和时间戳，只要用户修改密码、完成登录，令牌就会立即失效。
而账户激活场景的合理失效逻辑应该是「用户完成激活（is_active变为True）」才让令牌失效，如果你直接用默认生成器做激活：用户注册后如果先重置了密码、或者用其他方式完成了登录，之前发送的激活链接就会直接失效，用户点击后会报错，体验非常差。
你测试时效果一致，只是因为没有触发默认生成器的失效触发条件（改密码、登录），实际生产环境很容易碰到这类异常场景。

2. 安全隔离的必要性 #

如果同一个令牌生成器同时用于密码重置和账户激活两个场景，会引入不必要的安全风险：

• 两个场景的安全等级、有效期要求通常不同：密码重置令牌一般有效期仅1小时，账户激活令牌有效期大多设置为24小时到7天不等，共用生成器无法单独配置两类令牌的有效期规则。
• 存在令牌复用风险：如果业务接口逻辑存在疏漏，攻击者可以拿到某一类场景的令牌尝试在另一类接口使用，比如用有效期更长的激活令牌去尝试重置用户密码，增大攻击面。

3. 可维护性更优 #

单独拆分两个生成器后，后续迭代业务逻辑时互不影响：比如后续需要给激活令牌增加注册时间校验规则，直接修改AccountActivationTokenGenerator即可，不会牵连密码重置的逻辑，降低改出bug的概率。

另外你贴的示例代码最后一行存在笔误，实例化应该用token_generator = AccountActivationTokenGenerator()，而非TokenGenerator()。

内容的提问来源于stack exchange，提问作者Daniel Diaz