咨询：如何使用rest-auth验证已登录用户的屏幕解锁密码

刚好我之前也处理过类似的需求，其实不用纠结django-rest-auth的加密方式——它本质上完全复用了Django原生的用户密码哈希机制，咱们直接用Django自带的方法就能搞定屏幕解锁的密码验证！

具体实现步骤 #

1. 创建解锁API视图 #

我们需要写一个专门处理屏幕解锁请求的API，要求用户必须是已登录状态（用权限类限制），然后接收明文密码并验证。示例代码如下：

from rest_framework.views import APIView
from rest_framework.response import Response
from rest_framework.permissions import IsAuthenticated
from rest_framework import status

class ScreenUnlockView(APIView):
    # 只有已登录用户才能访问此接口
    permission_classes = [IsAuthenticated]

    def post(self, request):
        # 获取前端传入的明文密码
        input_password = request.data.get('password', '')
        
        # 用当前登录用户的实例调用check_password方法验证
        if request.user.check_password(input_password):
            # 验证通过，返回成功响应
            return Response({
                'status': 'success',
                'message': '屏幕解锁成功'
            }, status=status.HTTP_200_OK)
        else:
            # 验证失败，返回错误
            return Response({
                'status': 'failed',
                'message': '密码错误，解锁失败'
            }, status=status.HTTP_400_BAD_REQUEST)

2. 配置URL路由 #

把上面的视图添加到你的URL配置中，比如：

from django.urls import path
from .views import ScreenUnlockView

urlpatterns = [
    # 其他已有路由...
    path('screen-unlock/', ScreenUnlockView.as_view(), name='screen-unlock'),
]

关键原理说明 #

• check_password()是Django User模型的内置方法，它会自动把传入的明文密码按照数据库中存储的哈希盐值重新哈希，然后和数据库里的加密密码进行比对，完全避免了明文密码的泄露风险。
• 不需要关心具体的加密算法（比如默认的PBKDF2），Django会自动处理哈希和比对的逻辑，而且这个方法和django-rest-auth的用户系统完全兼容，因为rest-auth就是基于Django原生User模型的。

额外注意事项 #

• 不要自己手动去获取数据库里的password字段进行解密或比对，这样既不安全也容易出错。
• 接口权限一定要加上IsAuthenticated，确保只有已登录的用户才能尝试解锁自己的屏幕，避免越权操作。

内容的提问来源于stack exchange，提问作者aircraft