Django登录时密码暴露在浏览器URL中的问题咨询

你的问题核心在于表单默认使用了GET方法提交数据，而GET请求会把所有表单参数直接附加到URL上，这就是密码明文暴露在地址栏的根本原因。

看你login.html里的表单标签：

<form action="/workoutcal/login/">

这里没有指定method属性，HTML表单默认会采用GET方法提交，输入的邮箱、密码会被直接拼接到URL中，完全不符合安全规范。

1. 修正表单提交方法 #

把表单的提交方法改为POST，同时建议用Django的URL反向解析代替硬编码的action路径（更健壮，后续修改URL规则时无需同步改模板）：

<form action="{% url 'login' %}" method="POST">

注意：你需要在项目的urls.py里给LoginView的URL配置添加name参数，比如：path('login/', LoginView.as_view(), name='login')

2. 修复视图中的错误信息处理逻辑 #

你当前设置form['custom_error_message'] = 'Invalid user'的方式不符合Django表单的错误处理规范，表单不会自动识别这个自定义键。应该用表单的add_error方法添加非字段错误，这样模板里的{{ form.non_field_errors }}就能正确渲染错误信息：

class LoginView(View):
    form_class = LoginForm
    template_name = 'workoutcal/login.html'
    
    def post(self, request):
        form = self.form_class(request.POST)
        if form.is_valid():
            email = form.cleaned_data['email']
            password = form.cleaned_data['password']
            user = authenticate(email=email, password=password)
            if user is not None:
                if user.is_active:
                    login(request, user)
                    return calendar(request)  # 假设calendar是返回HttpResponse的视图函数
                else:
                    # 用户账号不活跃时添加错误提示
                    form.add_error(None, '当前账号已被禁用，请联系管理员')
                    return render(request, self.template_name, {'form': form})
            else:
                # 账号密码不匹配时添加错误提示
                form.add_error(None, '邮箱或密码不正确，请重新输入')
                return render(request, self.template_name, {'form': form})
        # 表单验证不通过（如邮箱格式错误）直接返回带错误的表单
        return render(request, self.template_name, {'form': form})
    
    def get(self, request):
        form = self.form_class(None)
        return render(request, self.template_name, {'form': form})

3. 模板错误信息的优化 #

现在你的form_disp_errors.html里已经包含了{{ form.non_field_errors }}，修改视图逻辑后，错误信息会自动在这里显示，不需要再自定义custom_error_message字段了。

• 永远不要用GET方法提交包含敏感信息（如密码、银行卡号）的表单，POST方法会把数据放在请求体中，不会暴露在URL里。
• 确保模板中正确保留了{% csrf_token %}（你已经做到了），这是Django防范CSRF攻击的核心机制。

内容的提问来源于stack exchange，提问作者Sahand