Django中如何测试基于Cookie存储Session的认证API？

一、排查登出时的「匿名用户」错误 #

出现这个问题大概率是会话校验或销毁逻辑有问题，按以下步骤排查：

• 检查Session有效性：登录后确认浏览器Cookie中存在后端设置的Session标识（比如connect.sid），调用登出接口时，确保请求头携带了该Cookie
• 修正后端逻辑：登出接口要先判断Session是否关联已认证用户——如果没有有效会话，直接返回「未登录」提示；如果有，销毁Session并清除对应Cookie，避免尝试操作匿名用户的会话
• 排查Session存储：如果用Redis等分布式存储，确认存储服务正常，没有出现会话提前失效的情况

二、Postman中利用Cookie测试Session认证API #

1. 自动Cookie管理（最简单） #

Postman默认支持自动保存并发送同域名Cookie：

• 确保右上角「Settings」→「Cookies」中，「Automatically send cookies matching current domain」已开启
• 先发送登录请求，成功后Postman会自动保存Session Cookie，后续请求（比如登出、获取用户信息）会自动携带，无需额外配置

2. 手动添加Cookie（自动失效时用） #

如果自动管理不生效，手动复制Session信息：

1. 登录成功后，打开浏览器开发者工具→「Application」→「Cookies」，复制Session键名（比如session_id）和对应的值
2. 在Postman目标请求的「Cookies」页签，点击「Add Cookie」：
   • 填写Name为复制的Session键名
   • Value为复制的Session值
   • Domain设为你的API域名（如localhost:3000）
   • Path填/，其他选项（HttpOnly、Secure）按后端配置勾选

3. 自动化测试脚本（可选） #

要实现登录→测试接口→登出的自动化流程，可在登录请求的「Tests」页签加脚本，把Session存到环境变量：

// 从响应头提取Session ID并存入环境变量
const setCookie = pm.response.headers.get('Set-Cookie');
if (setCookie) {
  const sessionMatch = setCookie.match(/session_id=([^;]+)/);
  if (sessionMatch) pm.environment.set('SESSION_ID', sessionMatch[1]);
}

之后在其他请求的「Headers」里添加Cookie: session_id={{SESSION_ID}}，就能自动携带会话

4. 验证登出效果 #

登出接口调用成功后，可在Postman的「Cookies」页签删除对应Session Cookie，再调用需要登录的接口，若返回未认证状态，说明登出逻辑正常

三、Session认证的关键配置 #

• 后端设置Cookie时开启HttpOnly和Secure，防止XSS攻击并确保HTTPS下传输
• 分布式部署时，Session必须存在共享存储（如Redis），避免不同实例间会话不一致
• 跨域场景下，后端CORS要配置credentials: true，并指定允许的Origin，否则前端无法携带Cookie

内容的提问来源于stack exchange，提问作者great coconut