Django LoginView登录失败时保留URL中next参数的问题

问题原因 #

你当前的form_invalid方法直接修改响应头Location的方式不可靠，super().form_invalid(form)返回的重定向响应可能已处理跳转路径，直接覆盖头信息容易出异常；另外get_success_url直接取POST['next']会引发KeyError，请求中无next参数时会报错。

修复方案 #

1. 复用LoginView内置的安全处理逻辑 #

Django的LoginView自带get_redirect_url()方法，能安全处理next参数（包括校验是否属于允许的主机），直接复用可避免手动处理的安全风险。

2. 重写form_invalid方法 #

表单验证失败时，构造包含next参数的登录页URL，返回重定向响应。

完整代码示例 #

from django.contrib.auth.views import LoginView
from django.shortcuts import redirect

class CustomLoginView(LoginView):
    def get_success_url(self):
        # 用内置方法获取合法next地址，无则返回主页
        redirect_url = self.get_redirect_url()
        return redirect_url or '/'
    
    def form_invalid(self, form):
        # 获取合法的next参数
        next_url = self.get_redirect_url()
        # 构造带next参数的登录页路径
        login_url = self.request.path
        if next_url:
            login_url = f"{login_url}?next={next_url}"
        # 重定向到带next参数的登录页
        return redirect(login_url)

代码说明 #

• get_redirect_url()：自动从GET/POST请求中提取next参数，同时校验地址是否在ALLOWED_HOSTS列表中，防止恶意跳转。
• form_invalid中直接构造带next的登录URL并返回重定向，确保登录失败后URL保留该参数。
• get_success_url用get_redirect_url()替代直接取POST参数，避免KeyError，同时保证跳转安全性。

内容的提问来源于stack exchange，提问作者Chandragupta Borkotoky