Django无浏览器/无返回Token时如何维持API用户登录及身份识别？

一、无浏览器或不返回Token时，Django维持API用户登录状态的方式 #

Django默认依赖会话（Session）机制来维持登录状态，核心逻辑如下：

• 登录成功后，服务器生成唯一的session key，并将用户身份信息关联存储在后端（数据库、缓存等介质）；
• 服务器会在响应中通过Set-Cookie头返回包含session key的Cookie，客户端需手动保存该Cookie内容；
• 后续请求时，客户端将Cookie放在请求头的Cookie字段中发送给服务器，Django的SessionMiddleware会自动解析session key，从后端取出对应用户信息，以此识别登录状态。

另外还有加密会话方案：通过配置django.contrib.sessions，将用户信息加密后直接存储在客户端Cookie中，无需后端存储会话数据。服务器收到请求时解密Cookie内容即可验证用户身份，全程也不需要返回Token。

二、django-ninja-auth登录后不返回Token，如何识别已登录用户 #

你提到的这段django-ninja-auth代码，登录接口调用了Django原生的auth.login()方法——这个方法的本质是触发Django的会话创建流程：

1. 登录成功后，服务器自动生成session key，并将用户信息绑定到该会话；
2. 响应中会返回Set-Cookie头，包含会话对应的Cookie信息；
3. 后续请求时，只要客户端带上这个Cookie，Django的会话中间件就能通过session key找到关联的用户，从而识别已登录状态。

简单来说，这个库没有采用JWT这类显式返回Token的方案，而是直接复用了Django原生的Cookie会话机制，靠Cookie里的会话标识维持用户登录状态。

内容的提问来源于stack exchange，提问作者user3190635