携带用户名密码的HTTP链接能否实现Django自动登录？

你当前设想的实现方式为什么不可行 #

直接把用户名、密码明文拼进邮件链接的方案，完全不具备落地价值，既有格式错误导致的技术问题，也有无法规避的安全风险。

技术格式的硬错误 #

你目前设计的链接结构不符合Web通用URL解析规则：常规请求的查询参数需要挂载在路径后的?之后，多个参数必须用&做分隔符，你用%作为参数分隔符的写法，Django的请求处理逻辑根本无法正确提取到链接里的账号、密码字段，哪怕链接发出去也没法被后端识别。
就算你把格式调整成合规的http://www.test.com/?username=xxx&password=xxx结构，这种设计依然存在不可控的安全漏洞：

• 如果站点用的是HTTP明文传输，账号密码会在整个网络链路中被所有中间节点直接截获，没有任何加密保护。
• 带敏感信息的链接会自动留存到浏览器历史、站点访问日志、各级网络代理的缓存中；如果用户点击链接后的页面加载了第三方资源，这些账号密码参数还会通过Referer头被自动传递到第三方站点，造成凭证泄露。
• 邮件服务端、用户本地邮箱客户端会长期留存这封带敏感链接的邮件，进一步扩大泄露范围。

Django场景下的正确实现路径 #

要实现用户点击邮件链接自动登录的需求，完全不需要把明文账号密码拼到链接里，成熟的实现逻辑如下：

• 发送邮件前，为目标用户生成一个由密码学安全随机数生成器产出的、无规律的一次性令牌，将令牌与对应用户ID关联存入数据库，同时为令牌设置15-30分钟的短有效期。
• 邮件内的登录链接仅携带这个随机令牌，形式类似http://www.test.com/auth/?token=xxxxxxxxxxxx，链接本身不包含任何可反解出用户账号、密码的信息。
• 用户点击链接访问后端时，依次校验令牌的存在性、有效期、是否已被使用：校验通过后直接为对应用户生成有效登录会话完成身份认证，同时立刻将该令牌标记为已使用，避免后续重复触发登录流程。
• 站点全局强制开启HTTPS加密传输，从链路层避免请求内容被窃听。

内容的提问来源于stack exchange，提问作者Sander