在Django REST Framework中实现游客登录的技术问询

一、游客账号必须包含的信息 #

结合你的现有User模型约束，游客账号需要以下信息：

• 邮箱：由于模型要求邮箱唯一且必填，需自动生成虚拟唯一邮箱（如guest_123456@example.com），无需用户输入。
• 姓名：可使用统一前缀+随机后缀的默认值（如Guest_789），既满足必填要求，又避免重名的视觉重复。
• 密码：自动生成随机强密码（无需暴露给用户），因为游客通过创建接口直接获取认证Token，不需要手动输入密码登录。
• 标识字段：必须设置is_guest=True，用于区分普通用户与游客，支撑后续的删除逻辑。
• 其他字段：头像颜色等可选字段可沿用现有自动生成逻辑，无需额外配置。

二、游客账号的创建与生命周期管理 #

1. 核心创建逻辑优化（基于现有代码修正） #

序列化器优化（serializers.py）

使用更安全的secrets模块生成随机值，避免重复并提升安全性：

class GuestSerializer(serializers.ModelSerializer):
    """Serializer for guests."""

    class Meta:
        model = get_user_model()
        fields = ['id', 'email', 'name', 'is_guest', 'avatar_color']
        extra_kwargs = {
            'email': {'required': False},
            'name': {'required': False},
            'is_guest': {'default': True},
            'avatar_color': {'read_only': True}
        }

    def create(self, validated_data):
        # 生成唯一虚拟邮箱与随机密码
        random_suffix = secrets.randbelow(900000) + 100000
        validated_data['email'] = f'guest_{random_suffix}@example.com'
        validated_data['name'] = f'Guest_{secrets.randbelow(9000)+1000}'
        validated_data['is_guest'] = True
        validated_data['password'] = secrets.token_urlsafe(16)  # 生成16位随机密码
        return get_user_model().objects.create_user(**validated_data)

视图层修正（views.py）

创建游客的接口需允许匿名访问，同时正确返回Token与用户信息：

class CreateGuestView(generics.CreateAPIView):
    """Create a new guest."""
    serializer_class = GuestSerializer
    authentication_classes = []
    permission_classes = [permissions.AllowAny]

    def create(self, request, *args, **kwargs):
        serializer = self.get_serializer(data=request.data)
        serializer.is_valid(raise_exception=True)
        user = serializer.save()
        token, created = Token.objects.get_or_create(user=user)
        return Response({
            'token': token.key,
            'user': GuestSerializer(user).data
        }, status=status.HTTP_201_CREATED)

2. 主动登出删除逻辑（现有代码优化） #

确保只有游客能调用登出删除接口，补充返回提示信息：

class GuestLogoutView(APIView):
    """Logout a guest and delete."""
    authentication_classes = [TokenAuthentication]
    permission_classes = [IsAuthenticated]

    def post(self, request, *args, **kwargs):
        if request.user.is_guest:
            request.user.auth_token.delete()
            request.user.delete()
            return Response({"msg": "Guest account deleted successfully"}, status=status.HTTP_200_OK)
        return Response({"msg": "Only guest accounts can use this endpoint"}, status=status.HTTP_400_BAD_REQUEST)

3. 浏览器关闭时的自动删除逻辑 #

浏览器关闭无法直接通知后端，需通过定时清理+活跃时间追踪实现：

步骤1：添加活跃时间字段（models.py）

class User(AbstractBaseUser, PermissionsMixin):
    # ... 原有字段 ...
    last_active = models.DateTimeField(auto_now=True)  # 自动更新最后活跃时间

步骤2：中间件更新活跃时间

创建中间件，每次游客请求时更新last_active：

# middleware.py
from django.utils import timezone

class UpdateGuestLastActiveMiddleware:
    def __init__(self, get_response):
        self.get_response = get_response

    def __call__(self, request):
        if request.user.is_authenticated and request.user.is_guest:
            request.user.last_active = timezone.now()
            request.user.save(update_fields=['last_active'])
        response = self.get_response(request)
        return response

在settings.py的MIDDLEWARE列表中添加该中间件。

步骤3：定时清理过期游客

使用Celery或Django Q等工具添加定时任务，每日清理超过24小时未活跃的游客账号：

# 示例Celery任务
from celery import shared_task
from django.utils import timezone
from django.contrib.auth import get_user_model

@shared_task
def clean_expired_guest_accounts():
    cutoff = timezone.now() - timezone.timedelta(hours=24)
    get_user_model().objects.filter(is_guest=True, last_active__lt=cutoff).delete()

三、现有代码的其他关键修正 #

• CreateUserView权限修正：普通用户注册接口需允许匿名访问，修改为：

  class CreateUserView(generics.CreateAPIView):
      """Create a new user in the system."""
      serializer_class = UserSerializer
      authentication_classes = []
      permission_classes = [permissions.AllowAny]
      filter_backends = (filters.SearchFilter,)
      search_fields = ('name', 'email',)
  

内容的提问来源于stack exchange，提问作者coder