跨PHP与Django应用实现数据库融合及无缝登录方案咨询

核心思路 #

要实现两个应用的账号互通，本质是统一用户数据源+跨应用身份验证机制，下面提供两种可落地的方案，从易到难排序：

方案一：共享用户数据库（最直接高效） #

让两个应用直接访问同一个用户表，从根源上实现数据一致。

1. 统一用户表结构与密码哈希算法 #

• 确定核心字段：id（主键）、email（唯一索引）、password_hash、created_at、updated_at
• 密码哈希统一用bcrypt：Django和PHP原生都支持该算法，避免跨语言哈希验证问题
  • Django配置：在settings.py中修改密码哈希器优先级：

    PASSWORD_HASHERS = [
        'django.contrib.auth.hashers.BCryptSHA256PasswordHasher',
        'django.contrib.auth.hashers.PBKDF2PasswordHasher',
    ]
    

  • PHP端：注册用户时用password_hash($password, PASSWORD_BCRYPT)生成哈希，登录时用password_verify($password, $hash)验证

2. 配置双应用连接同一数据库 #

• Django端：修改settings.py的DATABASES配置，指向共享数据库（以MySQL为例）：

  DATABASES = {
      'default': {
          'ENGINE': 'django.db.backends.mysql',
          'NAME': 'shared_user_db',
          'USER': 'db_user',
          'PASSWORD': 'db_pass',
          'HOST': 'db_host',
          'PORT': '3306',
      }
  }
  

  如果用自定义User模型，需指定对应表名：

  class CustomUser(AbstractUser):
      class Meta:
          db_table = 'users'  # 与PHP端使用的表名一致
  

• PHP端：用PDO连接共享数据库，登录逻辑示例：

  $pdo = new PDO('mysql:host=db_host;dbname=shared_user_db', 'db_user', 'db_pass');
  $email = $_POST['email'];
  $password = $_POST['password'];
  
  $stmt = $pdo->prepare("SELECT password_hash FROM users WHERE email = ?");
  $stmt->execute([$email]);
  $user = $stmt->fetch(PDO::FETCH_ASSOC);
  
  if ($user && password_verify($password, $user['password_hash'])) {
      // 登录成功，创建PHP会话
      session_start();
      $_SESSION['user_email'] = $email;
      header('Location: /dashboard');
  } else {
      // 登录失败
      echo "账号或密码错误";
  }
  

3. 账号创建逻辑 #

• Django创建的用户会直接写入共享表，PHP端可直接读取验证
• PHP端注册的用户同样写入共享表，Django端也能正常验证登录

方案二：独立数据库+数据同步+JWT单点登录（适合数据库分离场景） #

如果两个应用必须使用独立数据库，需要先同步用户数据，再通过JWT实现无缝登录。

1. 用户数据同步 #

替代webhook的简单实现方式：

• 数据库触发器：在Django的用户表上新增触发器，当用户创建/更新时，自动同步数据到PHP的用户表；反之亦然（需确保两边表结构一致，密码哈希统一用bcrypt）
• 定时同步脚本：写Python脚本定时从Django数据库拉取新增用户，插入到PHP数据库；或用PHP脚本反向拉取，示例（Python脚本）：

  import pymysql
  
  # 连接Django数据库
  django_db = pymysql.connect(host='django_db_host', user='user', password='pass', db='django_db')
  # 连接PHP数据库
  php_db = pymysql.connect(host='php_db_host', user='user', password='pass', db='php_db')
  
  django_cursor = django_db.cursor()
  php_cursor = php_db.cursor()
  
  # 拉取Django中未同步的用户
  django_cursor.execute("SELECT email, password_hash FROM auth_user WHERE id > (SELECT MAX(id) FROM php_users)")
  new_users = django_cursor.fetchall()
  
  # 插入到PHP数据库
  for email, hash in new_users:
      php_cursor.execute("INSERT INTO php_users (email, password_hash) VALUES (%s, %s)", (email, hash))
  
  php_db.commit()
  django_db.close()
  php_db.close()
  

  可通过Linux cron或Windows任务计划定时执行脚本。

2. JWT实现无缝登录 #

• Django端生成JWT：登录成功后生成包含用户信息的JWT，并存入跨域Cookie（假设两个应用同属example.com下的子域名）：

  import jwt
  from datetime import datetime, timedelta
  from django.http import HttpResponse
  
  def django_login(request):
      # 验证用户逻辑（略）
      user = request.user
      # 生成JWT，有效期1小时
      payload = {
          'user_id': user.id,
          'email': user.email,
          'exp': datetime.utcnow() + timedelta(hours=1)
      }
      token = jwt.encode(payload, 'shared_secret_key', algorithm='HS256')
      # 设置Cookie，允许子域名访问
      response = HttpResponseRedirect('https://php-app.example.com')
      response.set_cookie(
          'auth_token',
          token,
          max_age=3600,
          domain='.example.com',
          httponly=True,
          secure=True,
          samesite='Lax'
      )
      return response
  

• PHP端验证JWT并自动登录：读取Cookie中的JWT，验证签名后创建会话：

  require 'vendor/autoload.php'; // 安装firebase/php-jwt库
  use Firebase\JWT\JWT;
  use Firebase\JWT\Key;
  
  session_start();
  if (isset($_COOKIE['auth_token'])) {
      $token = $_COOKIE['auth_token'];
      $secret = 'shared_secret_key';
      try {
          $decoded = JWT::decode($token, new Key($secret, 'HS256'));
          // 验证通过，创建PHP会话
          $_SESSION['user_email'] = $decoded->email;
          $_SESSION['user_id'] = $decoded->user_id;
          // 跳转到PHP应用首页
          header('Location: /dashboard');
      } catch (Exception $e) {
          // JWT无效，跳转到登录页
          header('Location: /login');
      }
  }
  

安全注意事项 #

• 所有数据传输必须用HTTPS，防止密码或JWT被窃取
• Cookie必须设置HttpOnly（防止XSS窃取）、Secure（仅HTTPS传输）、SameSite（防止CSRF）
• 共享密钥（如JWT的secret）必须严格保密，定期轮换
• 密码哈希绝不能明文存储，必须使用bcrypt/Argon2等强哈希算法

内容的提问来源于stack exchange，提问作者NotEnoughDocumentation