如何避免Django Background Tasks存储认证参数？求替代方案

直接传递用户名密码到后台任务会导致敏感数据存入任务表，存在泄露风险，以下是几种可行的优化方案：

1. 使用短期临时认证令牌替代明文凭证 #

• 生成绑定当前用户的短期令牌（比如有效期1小时，可根据任务执行时长调整），替代用户名密码传递给任务：

  # 生成令牌（基于Django自带的签名令牌实现）
  from django.contrib.auth.tokens import PasswordResetTokenGenerator
  import six
  
  class TaskAuthTokenGenerator(PasswordResetTokenGenerator):
      def _make_hash_value(self, user, timestamp):
          return (
              six.text_type(user.pk) + six.text_type(timestamp) +
              six.text_type(user.is_active)
          )
  
  token_generator = TaskAuthTokenGenerator()
  auth_token = token_generator.make_token(request.user)
  
  # 调用任务时传递令牌
  my_cool_task(pks, auth_token)
  

• 任务内验证令牌并获取用户：

  def my_cool_task(pks, auth_token):
      user = User.objects.get(pk=...) # 根据令牌解析出对应用户ID
      if token_generator.check_token(user, auth_token):
          # 执行需要认证的操作
          pass
      else:
          # 令牌无效，终止任务或记录日志
          pass
  

• 优势：令牌短期有效，即使被泄露危害也极小，且任务表不会存储任何敏感信息。

2. 传递用户ID，基于用户权限执行任务 #

如果任务由已登录用户触发，直接传递用户ID即可，无需传递任何认证凭证：

# 调用任务时传递用户ID
my_cool_task(pks, request.user.id)

任务内通过ID获取用户并校验权限：

from django.contrib.auth.models import User

def my_cool_task(pks, user_id):
    try:
        user = User.objects.get(id=user_id)
        # 二次校验用户权限（比如是否允许执行该任务）
        if not user.has_perm('app_name.can_execute_task'):
            return
        # 执行任务操作
    except User.DoesNotExist:
        # 用户不存在，处理异常
        pass

• 优势：完全避免敏感信息传递，任务仅存储用户ID，安全且实现简洁。

3. 利用用户会话密钥（需注意有效期限制） #

如果用户处于登录状态，可传递会话密钥到任务，通过会话获取用户身份：

# 调用任务时传递会话密钥
my_cool_task(pks, request.session.session_key)

任务内通过会话密钥获取用户：

from django.contrib.sessions.models import Session

def my_cool_task(pks, session_key):
    try:
        session = Session.objects.get(session_key=session_key)
        user_id = session.get_decoded().get('_auth_user_id')
        user = User.objects.get(id=user_id)
        # 执行任务操作
    except (Session.DoesNotExist, User.DoesNotExist):
        # 会话过期或用户不存在，处理异常
        pass

• 注意：需确保任务执行时间不超过会话有效期，若用户提前注销，会话会失效导致任务执行失败。

4. 自定义任务模型清理敏感参数 #

如果必须传递参数，可通过自定义任务模型或信号，在任务保存到数据库前移除敏感信息：

from background_task.models import Task

class SafeTask(Task):
    def save(self, *args, **kwargs):
        # 解析并移除params中的敏感字段
        params = self.params
        # 假设params是包含[pks, username, password]的列表，替换敏感内容
        if len(params) >=3:
            self.params = [params[0], '[REDACTED]', '[REDACTED]']
        super().save(*args, **kwargs)

• 注意：此方法仅用于隐藏存储的敏感数据，需配合令牌等方案确保任务执行时能获取有效认证信息。

内容的提问来源于stack exchange，提问作者Evan