Django禁用用户后LoginView中authenticate返回None的原因咨询

原因 #

Django默认的ModelBackend认证后端在执行authenticate方法时，会自动过滤掉is_active=False的用户。也就是说，当用户被标记为未激活时，哪怕用户名密码完全正确，authenticate也不会返回该用户对象，直接返回None。

这是Django的默认设计逻辑，目的是让未激活用户无法通过常规认证流程登录，省去业务代码里的额外判断——但如果需要区分“用户名/密码错误”和“账号被禁用”两种不同提示，就得自定义逻辑绕开这个默认过滤。

解决办法 #

方法1：自定义认证后端 #

继承ModelBackend重写authenticate方法，取消对is_active的过滤，之后在业务代码里自行判断用户状态：

from django.contrib.auth.backends import ModelBackend
from django.contrib.auth import get_user_model

UserModel = get_user_model()

class AllowInactiveUserBackend(ModelBackend):
    def authenticate(self, request, username=None, password=None, **kwargs):
        if username is None:
            username = kwargs.get(UserModel.USERNAME_FIELD)
        try:
            # 直接查询用户，不过滤is_active状态
            user = UserModel._default_manager.get_by_natural_key(username)
        except UserModel.DoesNotExist:
            # 保持默认的密码哈希检查，防止时序攻击
            UserModel().set_password(password)
            return None
        else:
            if user.check_password(password):
                return user

然后在项目的settings.py中配置这个自定义后端：

AUTHENTICATION_BACKENDS = [
    'your_app_name.backends.AllowInactiveUserBackend',  # 替换成你的后端文件路径
    # 若需要保留其他认证后端，可继续添加
]

修改后，authenticate就会返回is_active=False的用户，你原有代码里的user.is_active判断就能正常触发，显示账号被禁用的提示。

方法2：先查询用户再手动验证密码 #

如果不想修改认证后端，可以先通过用户名查询用户（忽略激活状态），再手动验证密码和激活状态：

def post(self, request):
    form = LoginForm(request.POST)
    if form.is_valid():
        username = form.cleaned_data.get('username')
        password = form.cleaned_data.get('password')
        UserModel = get_user_model()
        try:
            user = UserModel.objects.get(username=username)
            if user.check_password(password):
                if user.is_active:
                    login(request, user)
                    return redirect('home')
                else:
                    messages.error(request, '你的账号已被禁用！')
            else:
                messages.error(request, '用户名或密码错误！')
        except UserModel.DoesNotExist:
            # 执行空密码哈希操作，防止攻击者通过响应时间判断用户名是否存在
            UserModel().set_password(password)
            messages.error(request, '用户名或密码错误！')
        return render(request, self.template_name, locals())

总结 #

默认情况下Django的authenticate不会返回未激活用户，这是内置认证后端的过滤逻辑导致的。如果需要区分不同的错误提示，要么自定义认证后端取消过滤，要么手动查询用户并验证密码和状态。

内容的提问来源于stack exchange，提问作者Jakub Bystroński