如何修改Django-Allauth中的rpId（依赖方ID）解决部署登录报错

核心问题分析 #

你的报错SecurityError: The requested RPID did not match the origin or related origins，本质是Django-Allauth默认使用后端服务的域名（api.example.com）作为RPID，但前端部署在根域名example.com，两者不在同一域名上下文导致验证失败。仅修改SESSION_COOKIE_DOMAIN或django.contrib.sites配置无法覆盖Passkey的RPID逻辑，需要自定义适配器强制指定RPID。

解决方案步骤 #

1. 自定义Passkey适配器

通过重写Django-Allauth的Passkey适配器，强制返回根域名作为RPID：
在你的项目某个应用（比如accounts）下创建adapters.py文件：

from allauth.passkey.adapter import DefaultPasskeyAdapter

class CustomPasskeyAdapter(DefaultPasskeyAdapter):
    def get_rpid(self, request):
        # 直接指定根域名作为RPID
        return "example.com"

然后在settings.py中配置使用该适配器：

ACCOUNT_ADAPTER = 'accounts.adapters.CustomPasskeyAdapter'

2. 完善跨域与Cookie配置

确保前后端跨域交互的Cookie和CSRF配置正确：

# settings.py
SESSION_COOKIE_DOMAIN = '.example.com'  # 匹配所有子域名
CSRF_COOKIE_DOMAIN = '.example.com'
CSRF_TRUSTED_ORIGINS = ['https://example.com', 'https://api.example.com']
SESSION_COOKIE_SAMESITE = 'Lax'  # 跨域场景可设为'None'，需配合SESSION_COOKIE_SECURE=True
SESSION_COOKIE_SECURE = True  # 生产环境必须开启HTTPS

3. 确认Site域名配置

确保django.contrib.sites的Site对象域名设置为根域名：

# 可通过Django Admin后台修改，或在shell中执行
from django.contrib.sites.models import Site

site = Site.objects.get(id=1)
site.domain = 'example.com'
site.name = 'example.com'
site.save()

为什么之前的设置无效？ #

Django-Allauth的Passkey RPID默认优先从request.get_host()获取当前请求的域名（即后端子域名api.example.com），仅在特定场景下会回退到Site配置。因此必须通过重写适配器的get_rpid方法，才能强制指定根域名作为RPID。

内容的提问来源于stack exchange，提问作者Lodewijck