Django REST Framework匿名用户访问购物车重复新建会话问题求助

问题背景 #

需要实现匿名用户对应唯一会话，但当前访问购物车API端点时，会话无法持久保存，仅在登录Django admin面板时才会生成sessionid Cookie。

问题原因 #

Django REST Framework的SessionAuthentication默认仅在**用户通过会话完成认证（如登录admin）**时，才会主动向客户端返回会话Cookie。对于匿名请求，即便调用了request.session.create()，DRF的响应也不会自动携带会话Cookie，导致客户端无法保存会话ID，后续请求无法关联到同一购物车。

修复方案 #

1. 修改购物车视图逻辑，手动设置会话Cookie #

在处理匿名用户的请求时，创建会话后需手动将会话Cookie写入响应头，确保客户端能保存并在后续请求中携带。

2. 修正后的代码示例 #

views.py（购物车应用）

# views.py in cart app
from django.conf import settings
from rest_framework import status
from rest_framework.decorators import api_view
from rest_framework.response import Response

def get_or_create_cart(request):
    if request.user.is_authenticated:
        token, created = Token.objects.get_or_create(user=request.user)
        cart, _ = Cart.objects.get_or_create(user_token=token)
    else:
        if not request.session.session_key:
            request.session.create()
            # 强制标记会话为已修改，确保Django保存会话
            request.session.modified = True
        session_key = request.session.session_key
        cart, _ = Cart.objects.get_or_create(session_key=session_key)
    return cart

@api_view(['GET', 'POST', 'PUT', 'DELETE'])
def cart_view(request):
    cart = get_or_create_cart(request)

    if request.method == 'GET':
        cart_items = CartItem.objects.filter(cart=cart)
        serializer = CartItemSerializer(cart_items, many=True)
        response = Response(serializer.data, status=status.HTTP_200_OK)
        
        # 为匿名用户手动设置会话Cookie
        if not request.user.is_authenticated:
            session_cookie = request.session.session_key
            if session_cookie:
                response.set_cookie(
                    key=settings.SESSION_COOKIE_NAME,
                    value=session_cookie,
                    secure=settings.SESSION_COOKIE_SECURE,
                    httponly=True,  # 开启httponly提升安全性
                    samesite='Lax'  # 根据业务需求调整SameSite属性
                )
        return response
    
    # 处理POST/PUT/DELETE请求的逻辑...

settings.py补充配置

建议完善会话Cookie的安全配置：

# settings.py
SESSION_COOKIE_HTTPONLY = True
SESSION_COOKIE_SAMESITE = 'Lax'

关键说明 #

• request.session.modified = True：默认情况下，Django仅在修改会话字典内容时才会保存会话。单纯创建会话未修改内容时，需手动标记会话为已修改，确保会话被持久化到数据库。
• 手动设置Cookie：DRF不会为匿名请求自动返回会话Cookie，因此需要通过response.set_cookie()将会话ID写入响应头，让客户端保存Cookie，后续请求携带该Cookie即可关联到同一购物车。

内容的提问来源于stack exchange，提问作者Jakub