如何在Django allauth密码重置时获取未加密原始密码？

首先明确：Django的密码采用单向加盐哈希算法存储，加密后根本没法解密，所以别在解密这条路上浪费时间，得从密码处理的上游环节入手——在密码被哈希前拿到原始值。

最靠谱的做法是拦截密码重置的表单提交逻辑，具体步骤如下：

1. 重写Allauth的密码重置表单 #

Allauth的密码重置流程里，用户输入新密码后，表单会先验证数据有效性，之后才会对密码进行哈希存储。我们可以重写这个表单，在父类的保存逻辑执行前，先拿到用户输入的原始密码，调用第三方接口。

示例代码：

from allauth.account.forms import ResetPasswordForm
from django.contrib.auth import get_user_model

User = get_user_model()

class CustomResetPasswordForm(ResetPasswordForm):
    def save(self, request, **kwargs):
        # 从表单清理后的数据里拿到原始密码
        raw_password = self.cleaned_data.get("password1")
        # 通过邮箱获取对应的用户对象
        user = User.objects.get(email=self.cleaned_data["email"])
        
        # 在这里调用第三方服务接口，传入原始密码
        # 比如：third_party_service.update_user_password(user.id, raw_password)
        
        # 执行父类的save方法，完成密码哈希存储和后续的重置流程
        return super().save(request, **kwargs)

2. 配置使用自定义表单 #

在项目的settings.py里添加配置，让Allauth使用我们自定义的重置密码表单：

ACCOUNT_FORMS = {
    'reset_password': 'your_app_name.forms.CustomResetPasswordForm'
}

注意事项 #

• 原始密码是极高敏感数据，调用第三方接口时必须用HTTPS传输，绝对不能明文走HTTP。
• 原始密码用完就丢，别在任何地方存储它，严格遵循安全规范。

内容的提问来源于stack exchange，提问作者Gordian