Django后台创建用户时同步创建PostgreSQL数据库用户的实现问题

能不能获取Django用户的明文密码？ #

答案是不能。Django默认不会存储用户的明文密码，它会对密码进行哈希处理（默认使用PBKDF2算法搭配SHA256哈希）后再存入数据库。当你通过Signals（比如post_save）触发脚本时，user.password字段已经是哈希后的字符串，根本无法还原出原始明文密码——这也是Django为了安全性做的核心设计。

最优实现方案 #

既然信号这条路走不通，我们可以从密码哈希前的环节入手，拦截明文密码并同步创建PostgreSQL用户，这里推荐两种贴合需求的靠谱方案：

方案1：自定义Admin用户创建表单（最适配后台创建场景）

通过重写Django Admin的用户创建表单，在密码被哈希之前拿到明文，再执行PostgreSQL用户创建操作。

具体步骤：

1. 自定义用户创建表单，继承默认的UserCreationForm并重写save方法：

from django.contrib.auth.forms import UserCreationForm
from django.contrib.auth import get_user_model
import psycopg2
from django.conf import settings

User = get_user_model()

class CustomUserCreationForm(UserCreationForm):
    class Meta(UserCreationForm.Meta):
        model = User

    def save(self, commit=True):
        # 先从表单中获取明文密码
        raw_password = self.cleaned_data.get('password1')
        user = super().save(commit=False)
        
        # 同步创建PostgreSQL用户（仅当提交且密码有效时执行）
        if raw_password and commit:
            try:
                # 用Django数据库配置连接PostgreSQL
                conn = psycopg2.connect(
                    dbname=settings.DATABASES['default']['NAME'],
                    user=settings.DATABASES['default']['USER'],
                    password=settings.DATABASES['default']['PASSWORD'],
                    host=settings.DATABASES['default']['HOST'],
                    port=settings.DATABASES['default']['PORT']
                )
                cursor = conn.cursor()
                # 用参数化查询避免SQL注入
                cursor.execute(
                    "CREATE USER %s WITH PASSWORD %s;",
                    (user.username, raw_password)
                )
                conn.commit()
                cursor.close()
                conn.close()
            except Exception as e:
                # 若PostgreSQL用户创建失败，回滚Django用户创建
                raise e
        
        if commit:
            user.save()
        return user

2. 在Admin中替换默认的用户表单：

from django.contrib import admin
from django.contrib.auth.admin import UserAdmin
from .models import User
from .forms import CustomUserCreationForm

class CustomUserAdmin(UserAdmin):
    add_form = CustomUserCreationForm

admin.site.register(User, CustomUserAdmin)

注意：要确保Django使用的PostgreSQL数据库用户拥有CREATEROLE权限，可以通过SQL授予：ALTER USER django_db_user WITH CREATEROLE;

方案2：自定义createsuperuser命令（适配命令行创建场景）

如果需要支持命令行创建用户时同步PostgreSQL用户，可以自定义Django管理命令：

from django.contrib.auth.management.commands.createsuperuser import Command as BaseCommand
import psycopg2
from django.conf import settings

class Command(BaseCommand):
    def handle(self, *args, **options):
        # 先执行原命令创建Django用户
        user = super().handle(*args, **options)
        raw_password = options.get('password')
        
        if raw_password:
            # 同步创建PostgreSQL用户
            conn = psycopg2.connect(
                dbname=settings.DATABASES['default']['NAME'],
                user=settings.DATABASES['default']['USER'],
                password=settings.DATABASES['default']['PASSWORD'],
                host=settings.DATABASES['default']['HOST'],
                port=settings.DATABASES['default']['PORT']
            )
            cursor = conn.cursor()
            cursor.execute(
                "CREATE USER %s WITH PASSWORD %s;",
                (user.username, raw_password)
            )
            conn.commit()
            cursor.close()
            conn.close()
        
        return user

把这个文件放在yourapp/management/commands/createsuperuser.py，执行python manage.py createsuperuser时就会自动同步创建PostgreSQL用户。

额外注意事项 #

• SQL注入防护：必须使用参数化查询（如代码中的%s占位符），绝对不能直接拼接字符串，避免注入风险。
• 异常一致性：创建PostgreSQL用户失败时，要确保Django用户的创建也回滚，避免数据不一致。
• 权限精细化：根据业务需求配置PostgreSQL用户的权限，比如是否允许登录、是否有特定数据库的访问权限等。

内容的提问来源于stack exchange，提问作者thimma