不依赖auth.models.User的Django Session ID Token实现方案咨询

嘿，这个需求完全能搞定！你其实可以把LDAP认证和Django内置的session体系无缝结合起来，不用纠结本地数据库的User对象问题（或者只做一个极简的“影子用户”过渡），下面给你几个实用的实现思路：

思路1：自定义认证后端，手动整合LDAP与Session #

这是最灵活的方式，完全可控：

• 首先实现一个自定义认证后端，核心是重写authenticate方法：用LDAP库（比如ldap3）验证用户输入的用户名和密码，验证通过后，要么在本地数据库创建一个仅存用户名的影子用户（密码可以设成一个永远无法登录的占位符，比如'!'），要么找到已存在的对应用户。
• 验证通过后调用Django内置的login(request, user)方法，这一步会自动给客户端设置sessionid Cookie，后续请求就能通过request.is_authenticated判断登录状态了。

示例代码片段：

# 在你的app的backends.py里
from django.contrib.auth.backends import ModelBackend
from django.contrib.auth.models import User
import ldap3

class LDAPBackend(ModelBackend):
    def authenticate(self, request, username=None, password=None, **kwargs):
        # LDAP验证逻辑
        server = ldap3.Server('你的LDAP服务器地址')
        try:
            with ldap3.Connection(server, user=f'cn={username},dc=example,dc=com', password=password, auto_bind=True):
                # 验证通过，获取或创建本地影子用户
                user, created = User.objects.get_or_create(
                    username=username,
                    defaults={'password': '!'}  # 设为不可用的密码，避免本地登录
                )
                return user
        except ldap3.core.exceptions.LDAPBindError:
            return None

    def get_user(self, user_id):
        # 从本地获取用户，用于session验证
        try:
            return User.objects.get(pk=user_id)
        except User.DoesNotExist:
            return None

之后在settings.py里配置这个后端：

AUTHENTICATION_BACKENDS = [
    'yourapp.backends.LDAPBackend',
    # 如果你还想保留本地认证，可以加上默认的ModelBackend
    # 'django.contrib.auth.backends.ModelBackend',
]

这样用户登录时先过LDAP验证，通过后利用本地影子用户触发session机制，后续请求就不用再重复走LDAP验证了（除非你需要做session过期或强制重验证）。

思路2：用成熟的第三方库快速整合 #

如果不想自己写LDAP验证逻辑，可以用django-auth-ldap这个官方推荐的第三方库，它已经帮你封装好了LDAP认证与Django auth体系的整合：

• 安装后配置LDAP服务器地址、绑定DN模板等参数，它会自动处理LDAP验证；
• 你可以通过配置项控制是否在本地创建User对象：AUTH_LDAP_CREATE_USER = True（默认）会自动创建同步LDAP信息的本地用户，设为False则需要提前在本地创建好对应用户（适合用户数量固定的场景）；
• 认证通过后，Django的session机制会自动生效，和内置认证完全一致，request.is_authenticated、login等方法都能正常使用。

关键注意点 #

• 如果你完全不想在本地存储用户数据，其实很难实现——因为Django的session需要关联User对象的主键来维持状态。但影子用户的方式几乎没有额外负担，只是存个用户名和无效密码，不会涉及敏感信息；
• 如果需要获取用户的LDAP额外信息（比如部门、邮箱），可以在认证通过后把这些数据存入session，或者在get_user方法中从LDAP同步，避免每次请求都去查LDAP影响性能。

内容的提问来源于stack exchange，提问作者OneRaynyDay