Django生成OTP时提示Otp.user必须为User实例的ValueError如何解决

错误原因 #

报错是因为Django的外键字段默认要求传入关联的模型实例，你在创建Otp对象时直接给user字段传入了用户ID整数值，不符合字段赋值要求。

修复方案 #

方案1（推荐，无需额外查询） #

修改generate_otp函数中Otp实例的创建代码，直接给外键对应的主键字段user_id赋值：

def generate_otp(user_id):
  try:
    otp_obj = Otp.objects.get(user_id=user_id)
  except Otp.DoesNotExist:
    otp_obj = None
  if otp_obj is None:
    otp = random.randrange(1000, 9999)
    # 把user=user_id改成user_id=user_id即可
    otp_obj = Otp(user_id=user_id, otp=otp)
    otp_obj.save()

方案2（传入User实例） #

也可以优化调用逻辑，直接把创建好的User实例传入generate_otp，避免冗余的主键传递：
首先修改视图层代码：

class UserCreateResponseModelViewSet(viewsets.ModelViewSet):
  def create(self, request, *args, **kwargs):
    serializer = self.get_serializer(data=request.data)
    if serializer.is_valid():
        # 保存后拿到创建好的User实例
        user = serializer.save()
        custom_data = {
            "status": True,
            "message": 'Successfully registered your account.',
            "data": serializer.data
        }
        # 直接传实例而非ID
        generate_otp(user)
        return Response(custom_data, status=status.HTTP_201_CREATED)
    else:
        custom_data = {
            "status": False,
            "message": serializer.errors,
        }
        # 这里也建议把状态码改成400 Bad Request更符合REST规范
        return Response(custom_data, status=status.HTTP_400_BAD_REQUEST)

再修改generate_otp函数适配传入的实例：

def generate_otp(user):
  try:
    otp_obj = Otp.objects.get(user=user)
  except Otp.DoesNotExist:
    otp_obj = None
  if otp_obj is None:
    otp = random.randrange(1000, 9999)
    otp_obj = Otp(user=user, otp=otp)
    otp_obj.save()

当前的基础逻辑可以跑通，但存在不少安全和体验问题，建议调整：

• 缺少OTP过期机制：现有Otp模型只有创建时间，没有过期时间、使用状态标记，旧OTP永久有效，存在安全风险，建议加expire_time、is_used字段，验证时同时校验有效性。
• 不支持重新发送OTP：现有逻辑只有用户没有OTP记录时才生成，用户如果OTP过期/丢失没法重新生成，建议每次调用生成逻辑时都创建新的OTP或者覆盖旧的有效OTP。
• 错误响应状态码不符合规范：参数校验失败时返回200状态码不符合REST设计规范，建议改为400 Bad Request。
• OTP长度较短：4位数字OTP暴力破解成本低，建议搭配请求频率限制，或者适当增加OTP长度。

内容的提问来源于stack exchange，提问作者Aryan VR