Django双用户表授权兼容PHP旧系统的技术实现问询

先梳理下你的核心需求：既要支持原LegacyUser（实际是分组却被设计成用户）和新User登录，又要保证JWT返回的用户ID是LegacyUser.id，同时全局邮箱唯一，还要支持一个LegacyUser对应多个新User。你之前尝试的视图方案虽然能统一数据，但逻辑不够灵活，下面是更优的实现思路：

一、统一认证后端，返回LegacyUser作为认证主体 #

因为JWT要求USER_ID_CLAIM是LegacyUser.id，所以不管用户用新User还是LegacyUser的凭证登录，认证后端最终都要返回对应的LegacyUser实例。这样JWT会自动用它的ID生成claim，完美满足需求。

改造认证后端（替换原两个后端） #

创建一个统一的认证后端，同时处理两种用户的登录逻辑：

from django.contrib.auth.backends import ModelBackend
from django.contrib.auth import get_user_model
from django.contrib.auth.hashers import check_password, make_password
from api.models import User as NewUser

LegacyUser = get_user_model()

class UnifiedAuthBackend(ModelBackend):
    def authenticate(self, request, email=None, password=None, **kwargs):
        # 优先检查新User
        try:
            new_user = NewUser.objects.get(email=email)
            if new_user.check_password(password):
                # 可选：自动同步新User密码到LegacyUser（如果旧系统需要兼容）
                legacy_user = new_user.legacy_user
                if not check_password(password, legacy_user.password):
                    legacy_user.password = make_password(password)
                    legacy_user.save(update_fields=['password'])
                return legacy_user
        except NewUser.DoesNotExist:
            # 再检查LegacyUser
            try:
                legacy_user = LegacyUser.objects.get(email=email)
                # 这里要兼容旧PHP系统的密码验证逻辑
                # 示例：如果旧系统用MD5加密，替换成对应的验证逻辑
                if self._verify_legacy_password(legacy_user.password, password):
                    return legacy_user
            except LegacyUser.DoesNotExist:
                return None

    def _verify_legacy_password(self, stored_pwd, input_pwd):
        # 实现旧系统的密码验证，比如明文/MD5/SHA1等
        # 示例：旧系统用明文存储（不推荐但可能存在）
        # return stored_pwd == input_pwd
        # 示例：旧系统用MD5加密
        # import hashlib
        # return hashlib.md5(input_pwd.encode()).hexdigest() == stored_pwd
        pass

    def get_user(self, user_id):
        try:
            return LegacyUser.objects.get(pk=user_id)
        except LegacyUser.DoesNotExist:
            return None

然后更新settings.py的认证后端配置：

AUTHENTICATION_BACKENDS = [
    'common.auth.backends.UnifiedAuthBackend',  # 只保留这个统一后端
]

二、保证邮箱全局唯一 #

要确保LegacyUser和新User的邮箱不重复，需要从模型+数据库两层做约束：

1. 模型层面验证（应用层） #

给新User添加pre_save信号，保存前检查邮箱是否已存在于LegacyUser：

from django.db.models.signals import pre_save
from django.dispatch import receiver
from api.models import User as NewUser, LegacyUser

@receiver(pre_save, sender=NewUser)
def check_global_unique_email(sender, instance, **kwargs):
    if LegacyUser.objects.filter(email=instance.email).exists():
        raise ValueError(f"邮箱 {instance.email} 已存在于旧用户系统中")

2. 数据库层面约束（底层保障） #

为了避免并发场景下的竞争问题，建议添加数据库触发器（以MySQL为例）：

-- 插入新User前检查邮箱是否在LegacyUser中存在
DELIMITER //
CREATE TRIGGER check_legacy_email_before_insert
BEFORE INSERT ON user
FOR EACH ROW
BEGIN
    IF EXISTS (SELECT 1 FROM legacy_user WHERE email = NEW.email) THEN
        SIGNAL SQLSTATE '45000' SET MESSAGE_TEXT = '邮箱已存在于旧用户系统';
    END IF;
END //
DELIMITER ;

-- 更新新User时也检查
DELIMITER //
CREATE TRIGGER check_legacy_email_before_update
BEFORE UPDATE ON user
FOR EACH ROW
BEGIN
    IF EXISTS (SELECT 1 FROM legacy_user WHERE email = NEW.email) THEN
        SIGNAL SQLSTATE '45000' SET MESSAGE_TEXT = '邮箱已存在于旧用户系统';
    END IF;
END //
DELIMITER ;

三、方案优势对比 #

和你之前的视图方案相比，这个实现有几个明显优势：

• 逻辑更清晰：不需要维护数据库视图，所有认证逻辑都集中在后端处理
• 天然满足JWT需求：统一返回LegacyUser实例，JWT的USER_ID_CLAIM自动符合要求
• 邮箱唯一性更可靠：应用层+数据库层双重约束，避免并发问题
• 可扩展性强：后续可以轻松添加密码同步、用户迁移等逻辑

内容的提问来源于stack exchange，提问作者Artur Siepietowski