Django 站点登录为何与Admin后台登录状态联动冲突？

跨端登录异常的本质是站点自定义认证流程与Django Admin的内置认证逻辑未做边界隔离，完全共用同一套全局会话存储与校验链，结合两类具体现象，对应开发中极易踩中的三类典型失误：

• 自定义站点的认证拦截逻辑覆盖了Admin的内置登录校验流程
  开发站点登录功能时如果编写了全局登录校验中间件，只要检测到会话存在用户值，就直接把用户绑定到请求对象、拦截未登录请求，完全不校验当前请求的目标路径。这种情况下，以招聘者身份登录站点后访问Admin，原本应该弹出的Admin内置登录页会被自定义中间件直接拦截，提示“当前已处于其他账号登录状态请切换”——本质是自定义逻辑抢占了Admin认证流程的控制权，并非Admin自身识别到了招聘者身份。
• 会话Cookie未做路径隔离，两端读写完全同一份会话数据
  Django默认生成的会话Cookie（sessionid）作用域为根路径/，意味着访问站点前端路径或是Admin后台路径时，浏览器都会携带同一个sessionid，在服务端读写同一份会话内容。在Admin端通过内置流程登录管理员账号时，Django会直接在共享会话中写入当前登录的管理员用户ID；而站点端因为没有做“仅识别站点注册用户”的校验，读取会话时自然会将这个从未在站点注册过的管理员账号识别为当前登录用户，出现两端状态同步的异常。
• 全局认证后端配置被覆盖，丢失了Admin的staff权限校验逻辑
  配置自定义邮箱登录后端时，如果将项目的AUTHENTICATION_BACKENDS配置改为仅挂载自定义后端，且后端逻辑没有保留is_staff权限的校验规则，就会彻底打破Admin原本的认证边界：原本Admin仅允许is_staff=True的账号登录，此时不管是站点的招聘者账号，还是后台的管理员账号，都会通过同一个认证后端完成校验，完全失去权限分层。

快速排查方向

• 打开浏览器开发者工具的应用面板，查看sessionid的Path配置，如果为/就说明没有做路径隔离
• 检查项目的MIDDLEWARE配置，确认自定义的站点登录校验逻辑是否排在Django内置的AuthenticationMiddleware之前，提前拦截了Admin的认证流程
• 直接查询数据库django_session表，确认Admin登录管理员账号后，会话中存储的用户ID是否直接关联了auth_user表的管理员记录，以此验证会话共享问题。

内容的提问来源于stack exchange，提问作者Alpha