Django自定义User密码被重置为空？如何定位SQL查询来源？

1. 密码被重置为空的可能原因 #

• 自定义模型/信号逻辑冲突：检查你的User模型save方法，是否在处理头像缩放时误重置了password字段（比如写了self.password = ''或未正确保留原有值）；同时排查是否存在其他监听User模型的pre_save/post_save信号，这类信号可能在你设置密码后二次修改password字段。
• 表单/序列化器错误：如果通过表单或DRF序列化器操作用户，检查是否存在逻辑漏洞——比如自定义表单的clean方法错误清空密码，或者序列化器设置了allow_blank=True且未做非空校验，导致提交空字符串覆盖原有密码。
• 第三方依赖干扰：某些用户管理、权限同步类的第三方库（如SSO插件、用户同步工具）可能在特定时机修改用户密码，排查这类依赖的配置和代码逻辑。
• Admin后台配置问题：若使用自定义UserAdmin，检查fieldsets或save_model方法是否存在错误——比如强制要求密码字段但未处理空值，导致保存时将密码置空（Django默认UserAdmin不填密码不会修改原有值，但自定义后可能改变这一行为）。
• 并发操作冲突：虽然用filter().update()避免了信号重复，但如果存在其他进程/任务同时修改该用户实例，可能出现时序问题——比如你的密码更新后，另一个操作读取了未包含新密码的旧实例并保存，导致密码被覆盖为空。

2. 调试定位空密码UPDATE查询的方法 #

• 添加SQL查询栈追踪日志：修改Django日志配置，让包含空密码UPDATE的SQL打印调用栈。示例配置：

  import traceback
  import logging
  from django.utils.log import RequireDebugTrue
  
  class SQLPasswordResetFilter(logging.Filter):
      def filter(self, record):
          if (record.levelname == 'DEBUG' and hasattr(record, 'sql') 
              and 'UPDATE' in record.sql and "password = ''" in record.sql):
              print("\n===== 触发空密码重置的SQL =====")
              print(record.sql)
              print("调用栈:")
              traceback.print_stack()
              print("==============================\n")
          return True
  
  LOGGING = {
      'version': 1,
      'disable_existing_loggers': False,
      'handlers': {'console': {'class': 'logging.StreamHandler'}},
      'filters': {
          'require_debug_true': {'()': RequireDebugTrue},
          'password_reset_filter': {'()': SQLPasswordResetFilter},
      },
      'loggers': {
          'django.db.backends': {
              'level': 'DEBUG',
              'handlers': ['console'],
              'filters': ['require_debug_true', 'password_reset_filter'],
              'propagate': False,
          },
      },
  }
  

  启动项目后，一旦出现目标SQL，控制台会打印完整调用栈，直接定位代码位置。

• 监听User模型pre_save信号：在信号中捕获密码变为空的时机，打印调用栈：

  from django.db.models.signals import pre_save
  from django.dispatch import receiver
  from .models import User
  import traceback
  
  @receiver(pre_save, sender=User)
  def catch_empty_password(sender, instance, **kwargs):
      if instance.pk:
          old_user = sender.objects.only('password').get(pk=instance.pk)
          if old_user.password and instance.password == '':
              print("\n===== 密码被置空 =====")
              print(f"用户ID: {instance.pk}")
              print("调用栈:")
              traceback.print_stack()
              print("====================\n")
  

  这种方式能精准捕获所有通过模型save方法修改密码为空的操作。

• 排查Admin后台操作：开启Django自带的Admin操作日志（django.contrib.admin），查看是否有管理员修改该用户并清空密码的记录；同时检查自定义UserAdmin的save_model方法，确认没有错误处理密码字段。

• 检查Celery任务逻辑：在Celery任务中添加日志，打印任务执行前后的用户密码状态，确认任务本身是否存在修改密码的逻辑；同时确保任务中仅使用filter().update()修改密码，避免获取用户实例后调用save()（可能触发其他信号或逻辑）。

内容的提问来源于stack exchange，提问作者kunambi