Django中为指定用户（如管理员）实现自动登出的最佳实践是什么

核心原理：Django 支持在请求生命周期内通过 set_expiry() 方法动态覆盖全局的 SESSION_COOKIE_AGE 配置，不需要修改全局参数，就能实现不同用户组的差异化过期策略。

1. 首选方案：自定义中间件实现动态过期 #

这是最轻量化、对现有代码侵入最低的方案，不需要修改现有登录、认证逻辑：

• 首先在你的Django应用下新建 middleware.py 文件，写入如下逻辑：

from django.utils.deprecation import MiddlewareMixin

class CustomSessionExpiryMiddleware(MiddlewareMixin):
    def process_request(self, request):
        # 只处理已登录的用户
        if not request.user.is_authenticated:
            return
        # 超级管理员设置15分钟过期，可按需调整时长
        if request.user.is_superuser:
            request.session.set_expiry(15 * 60)
        # 普通管理员设置30分钟过期
        elif request.user.is_staff:
            request.session.set_expiry(30 * 60)
        # 普通用户沿用全局默认配置，也可单独设置其他时长
        else:
            request.session.set_expiry(None) # None表示使用全局SESSION_COOKIE_AGE配置

• 然后在 settings.py 的 MIDDLEWARE 列表里注册这个中间件，注意要放在 django.contrib.sessions.middleware.SessionMiddleware 之后：

MIDDLEWARE = [
    # ... 其他默认中间件
    'django.contrib.sessions.middleware.SessionMiddleware',
    # 你的自定义中间件放在SessionMiddleware后面
    '你的应用名称.middleware.CustomSessionExpiryMiddleware',
    # ... 其他中间件比如AuthenticationMiddleware等
]

2. 备选方案：登录时指定过期时间 #

如果你只需要在登录时刻设置一次过期时长，不需要后续动态调整，可以直接重写登录逻辑，在调用 login() 之后设置过期时间：

from django.contrib.auth import login, authenticate

def custom_login_view(request):
    # 账号密码校验逻辑
    user = authenticate(username=request.POST['username'], password=request.POST['password'])
    if user is not None:
        login(request, user)
        # 登录后根据用户角色设置过期时间
        if user.is_superuser:
            request.session.set_expiry(15*60)
        elif user.is_staff:
            request.session.set_expiry(30*60)
        else:
            request.session.set_expiry(None)
        # 后续跳转逻辑

注意：这个方案的缺点是如果用户勾选了「记住我」功能，或者后续需要动态调整过期规则时会不生效，适合逻辑简单的小型项目使用。

3. 高安全场景附加配置：敏感操作额外校验过期 #

如果是后台管理等高安全场景，可以额外在管理员访问后台路径时，单独校验最后活跃时间，进一步提升安全性：

• 给用户模型扩展 last_activity 字段，每次请求时更新该字段
• 访问 /admin 开头的路径时，判断当前时间和 last_activity 的差值超过阈值就直接登出

内容的提问来源于stack exchange，提问作者rahnama7m