基于外部用户API的Django REST Framework无本地用户会话认证问询

Absolutely! You can absolutely use Django's session authentication without creating local user records, while relying on your third-party user database API for validation. Here's how to pull this off smoothly with Django REST Framework:

核心思路 #

Django的认证系统扩展性极强——我们将构建一个自定义认证后端，把用户验证逻辑委托给第三方API，然后用Django内置的会话管理来处理会话生命周期，完全不需要本地User模型记录。

步骤1：自定义认证后端 #

创建一个绕过本地数据库检查、直接调用第三方API的自定义认证后端。验证通过后，我们会返回一个内存中的User对象（不保存到数据库），因为Django的login()函数需要一个用户实例才能正常工作。

# your_app/backends.py
from django.contrib.auth.backends import BaseBackend
from django.contrib.auth.models import User  # 也可以用自定义用户类
import requests

class ThirdPartyAPIAuthBackend(BaseBackend):
    def authenticate(self, request, username=None, password=None, **kwargs):
        # 调用第三方API验证用户名密码
        auth_api_url = "https://your-third-party-api.com/auth"
        response = requests.post(
            auth_api_url,
            data={"username": username, "password": password}
        )

        if response.status_code == 200:
            # 从API响应中提取所需用户信息（可选）
            user_data = response.json()
            
            # 创建内存中的User对象（不写入本地数据库）
            user = User(username=username)
            user.is_active = True
            user.id = user_data.get("user_id")  # 可选：用API返回的用户ID标记会话
            # 可按需添加更多属性，比如 user.email = user_data.get("email")
            
            return user
        return None

    def get_user(self, user_id):
        # 会话会保存user_id，此方法用于后续请求恢复用户对象
        # 因为没有本地用户，我们返回一个虚拟用户实例
        # 若需要最新用户信息，也可以在这里再次调用API获取数据
        return User(username="virtual_user", id=user_id, is_active=True)

步骤2：配置Django认证后端 #

在settings.py中更新配置，使用我们的自定义后端：

# settings.py
AUTHENTICATION_BACKENDS = [
    'your_app.backends.ThirdPartyAPIAuthBackend',
    # 如果还需要保留本地用户认证，可以保留默认后端：
    # 'django.contrib.auth.backends.ModelBackend',
]

步骤3：实现DRF登录/登出视图 #

编写DRF视图来处理登录（触发自定义认证）和登出（清除Django会话）逻辑：

# your_app/views.py
from rest_framework.views import APIView
from rest_framework.response import Response
from rest_framework import status
from django.contrib.auth import authenticate, login, logout

class ThirdPartyLoginView(APIView):
    def post(self, request):
        username = request.data.get('username')
        password = request.data.get('password')

        if not username or not password:
            return Response(
                {"error": "用户名和密码不能为空"},
                status=status.HTTP_400_BAD_REQUEST
            )

        # 使用自定义后端认证用户
        user = authenticate(request, username=username, password=password)
        
        if user is not None:
            # 触发Django会话创建，自动设置会话Cookie
            login(request, user)
            return Response(
                {"message": "登录成功", "user_id": user.id},
                status=status.HTTP_200_OK
            )
        else:
            return Response(
                {"error": "用户名或密码错误"},
                status=status.HTTP_401_UNAUTHORIZED
            )

class LogoutView(APIView):
    def post(self, request):
        # 清除Django会话
        logout(request)
        return Response(
            {"message": "退出成功"},
            status=status.HTTP_200_OK
        )

步骤4：配置路由 #

将视图添加到urls.py中：

# your_app/urls.py
from django.urls import path
from .views import ThirdPartyLoginView, LogoutView

urlpatterns = [
    path('api/login/', ThirdPartyLoginView.as_view(), name='third-party-login'),
    path('api/logout/', LogoutView.as_view(), name='logout'),
]

关键注意事项 #

• 内存用户对象：我们创建的User实例永远不会保存到本地数据库，Django只是用它来跟踪会话状态。
• 会话持久化：登录后，Django会在用户浏览器中设置会话Cookie。后续请求携带此Cookie时，DRF的SessionAuthentication会自动完成认证（可在DRF设置中启用该认证类）。
• 安全性：调用第三方API时务必使用HTTPS，防止凭证泄露。可以考虑给API响应添加缓存，减少重复调用。
• 用户数据扩展：如果需要获取用户名之外的用户信息，可以用API返回的数据扩展内存中的User对象（比如邮箱、角色等）。

内容的提问来源于stack exchange，提问作者Carl-Johan