GitHub 安全公告库 (GHSA)·· 2 小时前精选AI 评分58
Django REST framework 的 TokenProxy.delete() 静默失效，撤销令牌不生效
Django REST framework: TokenProxy.delete() reports success and revokes nothing
AI 导读
Django REST framework 的 TokenProxy.delete() 调用不抛异常并返回成功，但实际未删除数据库行，令牌仍可继续认证。原因是 TokenProxy 将 pk 覆写为 user_id，删除语句用用户 id 去匹配 40 位 key 列，返回 (0, {'authtoken.TokenProxy': 0})。
为什么值得看
材料给出可运行的复现脚本与对照实验，说明通过 TokenProxy 撤销令牌会静默失效，便于自查撤销逻辑。
来源：GitHub 安全公告库 (GHSA) · github.com