Django WSGI预发服并发请求时Session ID被覆盖致用户登出求助

1. 检查WSGI服务器的进程/线程配置 #

• 确认WSGI服务器（如uWSGI、Gunicorn）的运行模式：如果使用多进程模式，排查是否存在进程间状态共享的错误配置（比如误用全局变量存储会话相关数据）。
• 查看是否开启了预加载应用（如uWSGI的lazy-apps = false），预加载可能导致进程间共享未正确初始化的状态，引发会话处理的竞态问题。

2. 验证签名密钥与Cookie配置一致性 #

• 确认预发环境中所有应用实例的SECRET_KEY完全一致：signed_cookies依赖该密钥签名会话数据，若不同进程/实例密钥不一致，会导致会话验证失败，触发重新生成sessionid的逻辑。
• 检查SESSION_COOKIE_DOMAIN、SESSION_COOKIE_PATH配置：确保预发环境的配置与本地一致，避免Cookie被错误共享到不匹配的域名/路径下。
• 核对SESSION_COOKIE_SECURE、SESSION_COOKIE_HTTPONLY设置，确认预发环境的HTTPS配置没有导致Cookie传输异常。

3. 排查反向代理/负载均衡的缓存与响应头配置 #

• 检查前端反向代理（如Nginx）是否错误缓存了Set-Cookie响应头：若开启代理缓存，需确保缓存规则排除会话相关响应头，避免不同用户的Cookie被复用。
• 验证反向代理的连接复用配置：比如Nginx的keepalive设置是否导致不同请求的响应头被混写，引发Set-Cookie头覆盖。

4. 检查视图与中间件的竞态条件 #

• 排查所有自定义中间件、视图函数：确认没有修改全局变量或复用请求上下文外的共享状态，尤其是会话处理相关逻辑（如手动修改request.session的操作）。
• 检查login_required装饰器之外的会话操作：比如是否在并发请求的视图中存在强制重置sessionid的逻辑，或错误调用了logout()、request.session.flush()等方法。

5. 验证会话引擎的随机数生成逻辑 #

• 由于signed_cookies会话的sessionid依赖Python的随机数生成器，检查预发环境的Python版本是否存在随机数生成的并发安全问题。
• 可临时替换会话引擎为django.contrib.sessions.backends.db做对比测试：若改用数据库存储会话后问题消失，说明问题出在signed_cookies的客户端存储与服务器端签名/生成逻辑的交互上。

6. 抓包分析会话Cookie的传输过程 #

• 在预发环境下用浏览器开发者工具或抓包工具捕获并发请求的请求头与响应头：
  • 对比两个用户请求的Cookie头，确认初始登录后的sessionid不同。
  • 查看并发请求返回的Set-Cookie头，确认是否服务器错误地向两个用户返回了同一个sessionid，或其中一个请求的Set-Cookie覆盖了另一个的。

内容的提问来源于stack exchange，提问作者BenP