Django跨应用Bot服务哈希密码认证失败问题求助

嘿，这个问题我之前在做类似的Bot集成时也碰到过，改Django源码绝对是没必要的下下策，给你几个更优雅的解决方案：

Django的auth.login()本质是把用户信息写入会话，它并不强制要求用户必须通过authenticate()获取——只要你能拿到一个合法的、已完成网页端认证的User对象，就可以直接调用它完成Bot服务端的登录，完全不需要用到密码。

具体步骤：

• 当用户在网页端登录成功后，你已经能拿到对应的User实例（比如request.user），可以把用户ID暂存起来（比如存在数据库或者缓存里，关联到当前用户会话）。
• 当Bot服务回调时，通过之前暂存的用户ID从数据库中取出User对象。
• 手动给User对象设置认证后端（这是auth.login()要求的，必须指定用户是通过哪个后端认证的）：

  user.backend = 'django.contrib.auth.backends.ModelBackend'
  

  注意：这里的后端要和你项目settings.py里AUTHENTICATION_BACKENDS配置的默认后端一致，默认就是上面这个。
• 最后直接调用auth.login(bot_request, user)，就完成了Bot服务端的用户登录，后续就可以正常在该账号下记录信息了。

完整代码示例：

from django.contrib import auth
from django.contrib.auth.models import User

def bot_service_callback(request):
    # 从回调参数中获取之前暂存的用户ID（比如通过POST参数或者其他方式传递）
    user_id = request.POST.get('user_id')
    # 从数据库取出用户对象
    user = User.objects.get(id=user_id)
    # 手动设置认证后端，标记用户已合法认证
    user.backend = 'django.contrib.auth.backends.ModelBackend'
    # 直接执行登录
    auth.login(request, user)
    
    # 接下来就可以在这个用户上下文里记录信息了
    # 比如：UserActionLog.objects.create(user=user, action='bot_started')
    return ...

如果你确实需要走authenticate()流程（比如Bot服务的逻辑依赖这个函数的返回），可以自定义一个认证后端，让它支持用用户ID+哈希密码（或者直接用户ID）来验证身份，完全不用修改Django源码。

步骤如下：

1. 在你的Django应用下创建backends.py文件，编写自定义认证后端：

from django.contrib.auth.backends import ModelBackend
from django.contrib.auth.models import User

class BotAuthBackend(ModelBackend):
    def authenticate(self, request, user_id=None, stored_hashed_pwd=None, **kwargs):
        try:
            user = User.objects.get(id=user_id)
            # 直接对比数据库中存储的哈希密码（因为你已经留存了该值）
            if user.password == stored_hashed_pwd:
                return user
            # 或者更安全的方式：因为用户已在网页端认证过，可直接信任用户ID，跳过密码验证
            # return user
        except User.DoesNotExist:
            # 用户不存在，返回None表示认证失败
            return None

    def get_user(self, user_id):
        try:
            return User.objects.get(pk=user_id)
        except User.DoesNotExist:
            return None

2. 在项目的settings.py中添加这个自定义后端到认证后端列表：

AUTHENTICATION_BACKENDS = [
    'django.contrib.auth.backends.ModelBackend',
    'your_app_name.backends.BotAuthBackend',  # 替换成你的应用名
]

3. 在Bot回调中调用authenticate：

from django.contrib import auth

def bot_callback(request):
    user_id = request.POST.get('user_id')
    stored_hashed_pwd = request.POST.get('stored_hashed_pwd')  # 之前网页端登录后留存的哈希密码
    
    # 使用自定义后端认证
    user = authenticate(request, user_id=user_id, stored_hashed_pwd=stored_hashed_pwd)
    if user is not None:
        auth.login(request, user)
        # 后续操作
    return ...

如果不想在Bot服务中走传统的session登录流程，可以用JWT令牌来实现无密码的身份传递：

• 用户在网页端登录成功后，生成一个包含用户ID等信息的JWT令牌，把这个令牌传递给Bot服务。
• Bot服务在回调时携带这个令牌，后端验证令牌的有效性后，直接取出对应的User对象。
• 同样可以标记用户的认证后端，然后调用auth.login，或者直接用用户对象进行操作。

这个方案适合分布式的Bot服务场景，不需要依赖Django的session，用Django REST Framework的JWT扩展可以快速实现。

总结：最推荐方案一，因为它最简单直接，完全利用Django现有认证机制，不需要额外配置或依赖，也避免了处理密码的麻烦。

内容的提问来源于stack exchange，提问作者iXcoder