使用Django REST Framework与MongoEngine时，正确密码无法登录问题排查

嘿，我来帮你排查这个登录失败的问题——这种情况在DRF+MongoEngine的组合里确实容易踩几个坑，我整理了最常见的几个原因，你可以逐一排查：

• 密码哈希未正确生成：
  Django默认User模型的密码是通过create_user方法自动哈希的，如果你是直接用User.objects.create(username='xxx', password='xxx')创建用户，密码会以明文存储，DRF的认证逻辑会用哈希值去比对，自然失败。
  解决：必须用User.objects.create_user(username='你的用户名', password='你的密码')创建用户，或者手动调用user.set_password('明文密码')再保存。同时检查settings.py里的PASSWORD_HASHERS配置，确保默认的PBKDF2哈希器在最前面：

  PASSWORD_HASHERS = [
      'django.contrib.auth.hashers.PBKDF2PasswordHasher',
      'django.contrib.auth.hashers.PBKDF2SHA1PasswordHasher',
      # 其他哈希器可选
  ]
  

• MongoEngine与Django User模型的ORM适配问题：
  如果你混用Django原生User模型和MongoEngine作为ORM，可能出现字段映射或方法缺失的问题：

  • 直接查看MongoDB中的用户文档，确认password字段是哈希字符串（开头类似pbkdf2_sha256$），而不是明文或其他格式；
  • 如果是自定义MongoEngine的User Document，要确保模型实现了set_password和check_password方法，让DRF能正确验证密码：

    from mongoengine import Document, StringField
    from django.contrib.auth.hashers import make_password, check_password
    
    class CustomUser(Document):
        username = StringField(unique=True)
        password = StringField()
    
        def set_password(self, raw_password):
            self.password = make_password(raw_password)
    
        def check_password(self, raw_password):
            return check_password(raw_password, self.password)
    

• 认证后端配置不兼容：
  Django默认的ModelBackend是为SQL类数据库设计的，和MongoEngine搭配可能存在查询逻辑的不兼容。你可以自定义一个适配MongoEngine的认证后端：

  # 在你的app下创建backends.py
  from django.contrib.auth.backends import BaseBackend
  from django.contrib.auth.models import User
  
  class MongoEngineAuthBackend(BaseBackend):
      def authenticate(self, request, username=None, password=None, **kwargs):
          try:
              user = User.objects.get(username=username)
              if user.check_password(password):
                  return user
          except User.DoesNotExist:
              return None
  
      def get_user(self, user_id):
          try:
              return User.objects.get(pk=user_id)
          except User.DoesNotExist:
              return None
  

  然后在settings.py里配置：

  AUTHENTICATION_BACKENDS = [
      'yourapp.backends.MongoEngineAuthBackend',
      # 其他后端按需添加
  ]
  

• 用户is_active属性为False：
  Django的User模型有is_active字段，如果这个值是False，即使密码正确，认证后端也会拒绝登录。你可以直接去MongoDB查看用户文档的is_active字段，或者通过代码检查：

  user = User.objects.get(username='你的用户名')
  print(user.is_active)  # 正常应该返回True
  

  如果是False，修改为True即可。

• DRF登录视图的参数或序列化问题：
  检查你的登录视图是否正确获取了用户名和密码参数：

  • 确认请求参数名是username和password，有没有拼写错误（比如写成user或pwd）；
  • 检查请求的Content-Type是否匹配（比如用application/json时，参数要放在请求体的JSON里；表单提交要确保视图支持表单数据）。

• MongoDB字段类型不匹配：
  比如username字段在MongoDB中是字符串类型，但你登录时传入了数字类型（比如误把用户ID当成用户名），导致查询不到用户；或者password字段被存储为二进制等非字符串类型，导致哈希比对失败。直接查看MongoDB的用户文档，确认字段类型和内容是否正确。

内容的提问来源于stack exchange，提问作者Satyam Tripathi