djangorestframework-jwt是否支持http、https？安全性及替代方案咨询

与JWT的部分典型使用场景不同，本模块仅生成用于验证请求DRF受保护API资源的用户身份的认证令牌，实际请求参数本身不会被包含在JWT声明中，这意味着这些参数未被签名，存在被篡改的可能。你应当仅通过SSL/TLS暴露API端点，以防范内容篡改和部分类型的重放攻击。

1. djangorestframework-jwt是否同时支持HTTP和HTTPS #

支持。它本质是Django REST Framework的认证层扩展，只负责校验请求携带的JWT令牌有效性，不限制底层传输协议，HTTP和HTTPS环境都可以正常运行。官方给出的安全提示只是告知用户HTTP传输的风险，并非不支持HTTP协议。

2. 使用它是否安全 #

符合部署要求的前提下是安全的：

• 必须全链路使用HTTPS暴露API，解决官方提示里提到的请求参数篡改、令牌窃听、重放攻击的风险
• 合理配置JWT有效期，避免使用永久有效的令牌，降低令牌泄露后的影响范围
• 不要在JWT payload中存储敏感信息，JWT的payload仅做Base64编码，没有加密，任何人拿到令牌都可以直接解码读取内容

如果在未加密的HTTP环境下使用则完全没有安全性：所有请求内容包括JWT令牌都是明文传输，中间人可以直接窃取令牌冒充用户发起请求，也可以随意篡改请求参数。

3. 替代方案有哪些 #

如果现有方案不符合你的需求，可以选择这些成熟方案：

• djangorestframework-simplejwt：目前DRF生态中维护更活跃、功能更完善的JWT认证实现，已经替代了停止维护的旧版djangorestframework-jwt，是DRF官方推荐的JWT认证方案
• DRF自带Session认证：适合同域前后端对接的场景，成熟稳定，自带CSRF防护，不需要额外引入扩展
• DRF自带Token认证：实现简单，适合低风险的内部服务对接场景，缺点是令牌固定不会自动过期，安全性较低
• OAuth2.0方案：如果你的API需要支持第三方应用授权访问，可以用django-oauth-toolkit实现OAuth2.0认证，是行业通用的授权标准

4. 这是否是REST API身份认证的通用实现方式 #

JWT本身是目前REST API无状态身份认证的主流通用实现之一，不管是什么技术栈的后端服务，跨域、多端对接的API场景都会大量使用JWT做身份认证。
不过它不是唯一的通用方案，需要结合场景选择：如果是内部系统、同域前端对接的API，用Session认证更常见；如果是第三方授权场景，OAuth2.0是更通用的标准。

内容的提问来源于stack exchange，提问作者heretoinfinity