自定义Django 2FA时，将User对象存入Session是否安全？

直接存储User对象到Session的安全性 #

• 序列化风险：直接把User模型对象存入Session不安全。Django默认用pickle序列化Session内容，这种方式不仅可能泄露用户邮箱、手机号等敏感字段，还存在反序列化代码执行漏洞——如果Session被劫持，攻击者可通过恶意构造的pickle数据发起攻击。
• 密码相关风险：User模型的password字段是哈希值（非明文），序列化后不会直接泄露明文密码，但哈希值若被获取，仍有被彩虹表破解的可能，结合其他敏感信息泄露，整体风险不可忽视。

替代方案的安全性 #

• POST用户名密码到2FA视图：这种方式不安全。若未用HTTPS加密，用户名和密码会被中间人拦截；即使有HTTPS，重复提交密码违背2FA的流程设计，也增加了密码被截获的概率。
• AJAX提交验证请求：AJAX只是请求方式，安全性取决于传输和验证逻辑。如果用HTTPS传输，且仅提交TOTP验证码，后端基于临时认证状态（而非直接存User对象）处理，这种方式相对安全，但核心是不能重复传输密码，也不能直接存储完整User对象。

安全思路参考 #

不要存完整User对象到Session，而是存储用户ID+临时认证状态标记，比如request.session['pre_auth_user_id'] = user.id，同时标记该用户已通过密码验证但未完成2FA。在2FA视图中，通过ID查询用户，验证TOTP通过后再调用login()。另外给这个临时状态设置短过期时间（比如5分钟），降低Session被劫持后的风险。

内容的提问来源于stack exchange，提问作者Learning_to_program