python - 如何使用 DRF JWT 实现记住我功能？

Question

我正在尝试使用 JWT DRF 实现来实现一种让用户保持登录我的网站的方法。

来自documentation建议一旦 token 过期，就无法刷新它们。

考虑到用户可能会关闭浏览器，我唯一的两个选择是要么拥有长期 token ，要么将用户名/密码存储在 localStorage 中，而这两个选项似乎都不安全。

是否有其他方法可以实现这一目标？或者，有没有一种方法可以根据用户的需求(即选择“记住我”选项)仅拥有长期 token

Answer 1

是的，JWT 仅用于短期验证 session ，即使刷新也是如此。如果您正在为浏览器进行设计，我建议您使用常规的旧 SessionAuthentication让用户长期登录(例如 30 天)。

如果您想避免 cookie，您可以使用短期和长期 token 的组合，例如 OAuth2 -- 查看 Django OAuth Toolkit与 DRF 集成。短期 token 就像 JWT 一样对 session 进行身份验证，而长期 token (30-60 天的生命周期)用于从 API 获取短期 token 并可以存储在 localStorage 中。