Django REST Framework SimpleJWT 中使用自定义用户ID字段导致令牌刷新失败的解决方案

在使用 Django REST Framework SimpleJWT 进行 JWT 认证时，很多开发者会遇到一个常见问题：当使用自定义用户模型并指定非主键字段作为用户标识时，在刷新令牌时会出现 HTTP 500 错误。本文将深入分析这个问题及其解决方案。

问题背景

在 Django 项目中，我们经常会扩展默认的用户模型，添加额外的字段。例如，使用 UUID 作为用户标识而非默认的自增 ID：

from django.contrib.auth.models import AbstractUser
import uuid

class CustomUser(AbstractUser):
    uuid = models.UUIDField(default=uuid.uuid4, unique=True)

在 SimpleJWT 配置中，我们通常会这样设置：

SIMPLE_JWT = {
    'USER_ID_FIELD': 'uuid',  # 使用uuid字段而非默认的id
    'ROTATE_REFRESH_TOKENS': True,
    'BLACKLIST_AFTER_ROTATION': True,
    # 其他配置...
}

问题现象

当启用令牌轮换和黑名单功能后，在调用 /api/token/refresh/ 端点时，系统会抛出 500 错误，核心错误信息为：

ValueError: Field 'id' expected a number but got '4faf8673-02f5-4a1d-8994-dd76adab934a'

问题根源分析

这个问题源于 SimpleJWT 内部 BlacklistMixin 的实现方式。在令牌黑名单处理过程中，代码尝试直接使用 USER_ID_CLAIM 的值（即用户的 UUID）来创建 OutstandingToken 记录，但 OutstandingToken 模型的 user 字段是一个外键，默认期望接收的是用户主键（通常是数字 ID）。

具体来说，问题出在以下代码路径：

1. 当刷新令牌时，TokenRefreshView 会验证刷新令牌
2. 验证通过后，会调用 refresh.blacklist() 方法将旧令牌加入黑名单
3. 在 blacklist() 方法中，尝试创建 OutstandingToken 记录时，直接将 UUID 值赋给了用户外键字段

解决方案

这个问题在 SimpleJWT 5.5.0 版本中已经得到修复。解决方案的核心思路是：

1. 首先通过 USER_ID_FIELD 配置获取用户模型
2. 然后使用该字段查询对应的用户对象
3. 最后将用户对象（而非原始ID值）赋给 OutstandingToken 的 user 字段

升级到 5.5.0 或更高版本是最简单的解决方案。如果由于某些原因无法升级，可以按照以下方式手动修复：

from django.contrib.auth import get_user_model

def custom_blacklist(self):
    jti = self.payload[api_settings.JTI_CLAIM]
    exp = self.payload["exp"]
    user_id = self.payload.get(api_settings.USER_ID_CLAIM)

    # 获取用户对象而非直接使用ID
    user = get_user_model().objects.get(**{api_settings.USER_ID_FIELD: user_id})
    
    token, _ = OutstandingToken.objects.get_or_create(
        jti=jti,
        defaults={
            "user": user,  # 使用用户对象
            "created_at": self.current_time,
            "token": str(self),
            "expires_at": datetime_from_epoch(exp),
        },
    )
    return BlacklistedToken.objects.get_or_create(token=token)

最佳实践

1. 保持更新：始终使用最新版本的 SimpleJWT，以避免已知问题
2. 测试覆盖：在使用自定义用户模型时，确保测试令牌的获取、刷新和验证流程
3. 明确配置：在 settings.py 中明确设置所有相关的 JWT 配置项
4. 监控日志：对认证相关的错误日志进行监控，及时发现类似问题

总结

在使用 Django REST Framework SimpleJWT 时，自定义用户模型是常见需求，但需要注意与令牌黑名单功能的兼容性。通过理解底层实现原理，我们可以更好地规避和解决这类问题。最新版本的 SimpleJWT 已经修复了这个兼容性问题，推荐开发者及时升级以获得更好的开发体验。

对于正在使用旧版本的项目，可以采用本文提供的临时解决方案，但长期来看，升级到最新版本才是最佳选择。