DRF用户登录测试遇表单验证错误：无效登录/账号未激活，求排查

一、登录验证错误的原因 #

1. 密码未正确哈希存储（最常见原因） #

Django的User模型密码字段存储的是哈希值而非明文。如果你的测试用例直接给password字段赋值（比如user.password = "your_password"），没有调用set_password()方法处理密码，数据库中会存储明文密码，导致AuthenticationForm验证时哈希比对失败，触发invalid_login错误。

即使你设置了is_active=True，但密码验证不通过的情况下，AuthenticationForm不会进入检查用户活跃状态的逻辑。你看到两个错误同时返回，大概率是视图错误处理逻辑不当，把表单的默认错误信息（包括未触发的inactive）一起返回了。

2. 表单错误处理逻辑问题 #

AuthenticationForm的clean()方法逻辑是：

1. 通过用户名查询用户
2. 验证密码是否匹配，不匹配则抛出invalid_login错误
3. 密码匹配后，再检查用户is_active状态，不活跃则抛出inactive错误

正常情况下这两个错误不会同时触发，若同时出现，说明你的视图代码可能错误地将表单的所有预设错误信息都返回了，而非仅返回实际触发的错误。

二、解决方案 #

1. 修正测试用例的用户创建逻辑：必须使用set_password()方法设置密码，再保存用户：

from django.contrib.auth.models import User

# 正确的用户创建方式
user = User.objects.create(username="test_user", is_active=True)
user.set_password("test_pass123")  # 对密码进行哈希处理
user.save()

2. 调整视图的错误处理逻辑：确保只返回表单验证实际触发的错误，而非所有预设错误。例如在视图中获取表单错误时，直接取form.errors即可，不要手动添加未触发的错误信息。

三、sensitive_variables装饰器的意义 #

在这个场景下使用是有意义的：

• 该装饰器的作用是防止敏感变量（如密码、身份令牌）在Django生成错误追踪日志时被泄露。当视图处理用户提交的密码参数时，如果视图抛出异常，未被装饰的话，密码可能会出现在错误日志中。
• 使用方式：如果是类视图（如UserViewSet），需要用method_decorator将其应用到具体的请求处理方法上，比如post方法：

from django.views.decorators.debug import sensitive_variables
from django.utils.decorators import method_decorator

class UserViewSet(viewsets.ViewSet):
    @method_decorator(sensitive_variables("password"))
    def create(self, request):
        # 登录逻辑代码
        pass

• 它不会影响表单验证逻辑，仅作用于错误日志的敏感信息隐藏，是提升应用安全性的一个细节处理。

内容的提问来源于stack exchange，提问作者Андрей