如何实现django-social-auth用户每4小时自动登出？

嗨，我来帮你理清这个问题的解决思路～首先得明确两个核心点：access_token过期不会直接让用户自动登出，以及实现4小时自动登出有两种主流方案，你可以根据需求灵活选择：

一、先搞清楚access_token和用户登录状态的关系 #

django-social-auth里的access_token是调用第三方平台API的凭证，它的1小时有效期和Django自身的用户session是完全独立的：

• 就算access_token过期了，用户的Django session依然有效，前端会显示用户处于登录状态；
• 这时候调用第三方API会返回token过期错误，但不会触发自动登出；
• 如果你的项目配置了refresh_token，django-social-auth通常会自动尝试刷新access_token；要是没有refresh_token，就得在代码里捕获API调用异常，再手动触发登出逻辑。

二、实现4小时自动登出的两种方案 #

方案1：利用Django自带的Session配置（最简单） #

Django本身支持设置session的过期时间，直接修改settings.py里的参数就能搞定：

# settings.py
# 设置session有效期为4小时（单位：秒）
SESSION_COOKIE_AGE = 4 * 3600  # 14400秒
# 如果希望用户关闭浏览器就登出，设为True；否则设为False
SESSION_EXPIRE_AT_BROWSER_CLOSE = False
# 默认情况下，用户每次请求都会刷新session过期时间
# 如果要严格执行“登录后4小时强制登出”，不管用户是否活跃，需要把这个设为False
SESSION_SAVE_EVERY_REQUEST = False

这种方案零代码侵入，完全用Django原生配置实现，适合需求简单的场景。

方案2：自定义中间件（更灵活） #

如果需要更个性化的控制（比如不同用户组设置不同过期时间、过期前给用户提示等），可以写一个自定义中间件：

1. 先创建中间件文件，比如middleware.py：

from django.contrib.auth import logout
from django.utils.deprecation import MiddlewareMixin
import time

class AutoLogoutMiddleware(MiddlewareMixin):
    def process_request(self, request):
        # 只处理已登录用户
        if request.user.is_authenticated:
            current_time = time.time()
            # 第一次登录时记录时间到session
            if 'login_timestamp' not in request.session:
                request.session['login_timestamp'] = current_time
            else:
                elapsed_time = current_time - request.session['login_timestamp']
                # 超过4小时则强制登出
                if elapsed_time > 4 * 3600:
                    logout(request)
                    # 这里可以添加跳转到登录页的逻辑，或者设置提示信息
                    # 比如：request.session['auto_logout_message'] = '登录已过期，请重新登录'

2. 在settings.py里注册这个中间件：

MIDDLEWARE = [
    # ... 其他中间件
    'your_app_name.middleware.AutoLogoutMiddleware',
]

这种方案灵活性很高，可以根据业务需求调整逻辑，比如结合用户权限、活跃行为等动态调整过期时间。

三、结合access_token的优化建议 #

因为access_token只有1小时有效期，建议在调用第三方API的地方添加异常捕获：

from social_django.utils import load_strategy
from requests.exceptions import HTTPError

def call_third_party_api(request):
    try:
        # 获取用户的social auth对象
        social = request.user.social_auth.get(provider='your_provider')
        # 用django-social-auth的工具确保token有效
        strategy = load_strategy(request)
        social.refresh_token(strategy)
        # 调用API
        # ...
    except HTTPError as e:
        # 如果token无法刷新，强制登出用户
        logout(request)
        # 跳转到登录页或提示用户

这样既能保证4小时自动登出，又能处理access_token过期导致的API调用问题，提升用户体验。

内容的提问来源于stack exchange，提问作者Hari