使用GET请求修改Django会话是否合理？附邀请系统实现疑问

是否不应通过GET请求修改会话？ #

对，绝对不应该用GET请求修改会话。HTTP规范里GET请求是幂等的，设计目的是获取资源，不应该产生任何副作用（比如修改数据库中的会话数据）。用GET改会话会带来很多问题：比如搜索引擎爬虫抓取邀请链接时会意外触发会话修改，用户重复点击链接也会导致重复操作，同时也违反了Django的最佳实践。

替代方案（无需大幅修改django-allauth） #

1. 邀请码作为注册表单的验证字段 #

• 生成邀请链接时，把邀请码作为URL参数附带，比如/accounts/signup/?invite_code=abc123
• 自定义django-allauth的SignupForm，添加邀请码字段（可以设为隐藏字段，自动从URL参数填充）
• 在表单的clean方法里验证邀请码：检查邀请码是否存在、未过期、未被使用
• 示例代码：

# forms.py
from allauth.account.forms import SignupForm
from .models import Invitation
from django.utils import timezone

class CustomSignupForm(SignupForm):
    invite_code = forms.CharField(widget=forms.HiddenInput(), required=True)

    def clean_invite_code(self):
        code = self.cleaned_data.get('invite_code')
        try:
            invitation = Invitation.objects.get(code=code, used=False, expires_at__gt=timezone.now())
        except Invitation.DoesNotExist:
            raise forms.ValidationError("无效或已过期的邀请码")
        return code

# settings.py
ACCOUNT_FORMS = {'signup': 'yourapp.forms.CustomSignupForm'}

• 注册完成后，记得标记对应邀请码为已使用。

2. 用签名Cookie传递邀请验证状态 #

• 邀请链接指向一个GET视图，该视图验证邀请码有效性后，设置一个签名、HttpOnly、Secure的Cookie，存储邀请码或验证标识
• 自定义django-allauth的注册逻辑（或用信号），在处理注册前检查Cookie中的有效标识
• 这种方式GET请求仅设置Cookie，相比修改会话更合规，且Cookie是客户端存储，不会修改服务器端会话数据
• 示例代码（设置Cookie的视图）：

# views.py
from django.http import HttpResponseRedirect
from django.core.signing import Signer
from .models import Invitation
from django.utils import timezone

def invite_redirect(request, invite_code):
    signer = Signer()
    try:
        invitation = Invitation.objects.get(code=invite_code, used=False, expires_at__gt=timezone.now())
        # 签名邀请码，防止篡改
        signed_code = signer.sign(invite_code)
        response = HttpResponseRedirect('/accounts/signup/')
        # 设置有效期为24小时的Cookie
        response.set_cookie('valid_invite', signed_code, max_age=86400, httponly=True, secure=True)
        return response
    except Invitation.DoesNotExist:
        return HttpResponseRedirect('/accounts/login/')  # 无效邀请跳转到登录页

3. 利用allauth信号拦截注册流程 #

• 监听allauth的pre_signup信号，在用户注册完成前验证邀请信息
• 从请求的URL参数或表单中获取邀请码，验证其有效性，若无效则抛出错误阻止注册
• 示例代码：

# signals.py
from django.dispatch import receiver
from allauth.account.signals import pre_signup
from .models import Invitation
from django.utils import timezone

@receiver(pre_signup)
def validate_invitation(sender, request, user, **kwargs):
    invite_code = request.GET.get('invite_code') or request.POST.get('invite_code')
    if not invite_code:
        raise ValueError("必须提供邀请码才能注册")
    try:
        Invitation.objects.get(code=invite_code, used=False, expires_at__gt=timezone.now())
    except Invitation.DoesNotExist:
        raise ValueError("无效或已过期的邀请码")

• 记得在apps.py中注册信号。

4. 邀请确认页+POST请求处理 #

• 邀请链接指向一个确认页面（GET请求，仅展示页面，无副作用），页面里包含一个隐藏邀请码的表单
• 用户点击"确认注册"按钮时发送POST请求，在POST视图中验证邀请码、标记为已使用，然后重定向到注册页面
• 这种方式把所有有副作用的操作放在POST请求中，完全符合HTTP规范

内容的提问来源于stack exchange，提问作者Juanma Donado