Wagtail私有页面2FA配置咨询：跳转回原文章及方案合理性

一、搞定登录后跳转回目标文章 #

你现在的配置把next参数写死成了/accounts，直接丢了用户原本要访问的文章URL。正确做法是动态传递原请求里的next参数，修改_util/login/的URL配置：

path("_util/login/", RedirectView.as_view(
    url="/accounts/login/",
    query_string=True  # 关键：保留原请求的所有查询参数，包括next
)),

或者更规范地用reverse生成URL：

from django.urls import reverse

path("_util/login/", RedirectView.as_view(
    view_name='account_login',
    query_string=True
)),

这样用户点击私有文章触发_util/login/?next=/path/to/article时，会被重定向到/accounts/login/?next=/path/to/article，登录完成后allauth会自动跳转到指定的文章页面。

二、当前方案的潜在问题与改进建议 #

1. 后台权限绕过的核心风险 #

你说用户登录后能直接进后台面板不用二次验证，这是大问题。当前admin/login/的重定向只是让用户走allauth的登录流程，但Wagtail admin本身没检查用户是否完成了2FA。必须补上这层验证：

• 写个自定义中间件，强制所有访问Wagtail admin的请求检查2FA状态：

  # middleware.py
  from django.shortcuts import redirect
  from allauth_2fa.utils import has_2fa_enabled, is_verified
  
  class WagtailAdmin2FAMiddleware:
      def __init__(self, get_response):
          self.get_response = get_response
  
      def __call__(self, request):
          # 只针对已登录、访问admin、开了2FA但没验证的用户
          if (request.path.startswith('/admin/') 
              and request.user.is_authenticated
              and has_2fa_enabled(request.user)
              and not is_verified(request.user)):
              # 跳去2FA验证页，同时保留当前admin路径作为next
              return redirect('two_factor:login', next=request.path)
          return self.get_response(request)
  

  然后在settings.py的MIDDLEWARE里加这个中间件（要放在django.contrib.auth.middleware.AuthenticationMiddleware之后）。

2. URL重定向的硬编码坑 #

当前admin/login/里的next=admin是相对路径，容易出跳转异常，建议改成绝对路径或用reverse：

path("admin/login/", RedirectView.as_view(
    view_name='account_login',
    query_string=True
)),

3. 统一登录入口 #

Wagtail可能还有其他默认登录入口，比如某些内部视图。可以在settings.py里把默认登录URL改成allauth的登录页，让Django的login_required装饰器自动跳对地方：

LOGIN_URL = 'account_login'

总结 #

• 动态传next参数解决跳转回原文章的问题；
• 加中间件强制admin检查2FA，堵住后台访问漏洞；
• 优化URL配置避免硬编码，统一所有登录入口。

内容的提问来源于stack exchange，提问作者Benjamin