Django认证表单问题：禁用用户登录未返回正确提示信息

这不是Bug，是Django的默认设计逻辑导致的：

问题根源 #

Django默认的authenticate()函数会自动过滤掉is_active=False的用户——当用户被禁用时，authenticate()直接返回None。而AuthenticationForm的校验流程是：先调用authenticate()获取用户，只有当用户存在（非None）时，才会触发confirm_login_allowed()方法做后续校验。所以禁用用户登录时，流程卡在authenticate()返回None这一步，直接抛出「请输入正确的用户名和密码」的错误，根本到不了confirm_login_allowed()检查用户是否激活的环节。

解决方案 #

要让禁用用户登录时显示正确提示，需要修改认证流程，让authenticate()返回禁用用户，再通过表单校验抛出对应错误：

1. 自定义认证后端，取消自动过滤禁用用户 #

创建自定义认证后端，继承ModelBackend并重写authenticate()方法，去掉对is_active的检查：

from django.contrib.auth.backends import ModelBackend
from django.contrib.auth import get_user_model

class AllowInactiveUserBackend(ModelBackend):
    def authenticate(self, request, username=None, password=None, **kwargs):
        UserModel = get_user_model()
        if username is None:
            username = kwargs.get(UserModel.USERNAME_FIELD)
        try:
            user = UserModel._default_manager.get_by_natural_key(username)
        except UserModel.DoesNotExist:
            # 模拟密码校验，防止时序攻击
            UserModel().set_password(password)
        else:
            if user.check_password(password):
                return user

2. 配置自定义认证后端 #

在项目settings.py中替换默认认证后端：

AUTHENTICATION_BACKENDS = [
    'your_app_name.backends.AllowInactiveUserBackend',  # 替换为你的后端实际路径
]

3. 在自定义表单中完善校验逻辑 #

确保CustomAuthenticationForm的confirm_login_allowed()方法检查用户是否激活，并抛出对应错误：

from django.contrib.auth.forms import AuthenticationForm
from django import forms

class CustomAuthenticationForm(AuthenticationForm):
    def clean_username(self):
        username = self.cleaned_data.get('username')
        return username.strip() if username else username

    def clean_password(self):
        password = self.cleaned_data.get('password')
        return password.strip() if password else password

    def confirm_login_allowed(self, user):
        if not user.is_active:
            raise forms.ValidationError(
                "用户已禁用",
                code='inactive',
            )
        super().confirm_login_allowed(user)

原生表单异常的原因 #

原生AuthenticationForm的confirm_login_allowed()确实会检查用户是否激活，但同样受限于默认authenticate()的逻辑——禁用用户无法通过authenticate()返回，所以根本触发不到这个校验步骤，因此也会显示错误的提示信息。

内容的提问来源于stack exchange，提问作者Doug Smith