如何检测从不同位置多次登录 Django Web 应用程序？

Question

我想一次只允许一个经过身份验证的会话在我的 Django 应用程序中进行单独登录。 因此，如果用户在给定的 IP 地址上登录网页，并且使用相同的用户凭据从不同的 IP 地址登录，我想做一些事情（注销第一个用户或拒绝第二个用户的访问。）

Answer 1

不确定这是否仍然需要，但我想我会分享我的解决方案：

1）安装 django-tracking（谢谢你的提示 Van Gale Google Maps + GeoIP 太棒了！）

2）添加这个中间件：

from django.contrib.sessions.models import Session
from tracking.models import Visitor
from datetime import datetime

class UserRestrictMiddleware(object):
    """
    Prevents more than one user logging in at once from two different IPs
    """
    def process_request(self, request):
        ip_address = request.META.get('REMOTE_ADDR','')
        try:
            last_login = request.user.last_login
        except:
            last_login = 0
        if unicode(last_login)==unicode(datetime.now())[:19]:
            previous_visitors = Visitor.objects.filter(user=request.user).exclude(ip_address=ip_address)
            for visitor in previous_visitors:
                Session.objects.filter(session_key=visitor.session_key).delete()
                visitor.user = None
                visitor.save()

3）确保它在VisitorTrackingMiddleware，您应该会发现当有人新登录时，以前的登录会自动被撞到:)

Answer 2

如果您已经按照此处的建议使用 django-tracking，则有一种更简单的方法来实现此目的：

定义信号处理程序：

# myapp/signals.py
def kick_my_other_sessions(sender, request=None, user=None, **kwargs):
    from tracking.models import Visitor
    from django.contrib.sessions.models import Session
    keys = [v.session_key for v in Visitor.objects.filter(user=request.user).exclude(session_key=request.session.session_key)]
    Session.objects.filter(session_key__in=keys).delete()

为 user_logged_in 信号创建侦听器：

# myapp/__init__.py
from myapp.signals import kick_my_other_sessions
from django.contrib.auth.signals import user_logged_in
user_logged_in.connect(kick_my_other_sessions, sender=User)

这将建立一种“最后登录的用户获胜”系统。 如果您希望允许同一用户从同一 IP 多次登录，您可以将 .exclude() 添加到 Visitors 查找中。

Answer 3

Django 的 中间件 可能会帮助你实现这一点。 问题是您可能希望允许来自同一 IP 地址的多个匿名会话，甚至是不同用户的经过身份验证的会话，但不允许同一用户的经过身份验证的会话。

您需要：

1. 创建用户配置文件模型来存储用户上次登录的 IP 地址。 请参阅 Django 的存储有关用户的其他信息 文档。

2. 实现自定义身份验证后端 。 当触发并成功验证用户身份（只需调用 super）时，此后端将清除配置文件模型中用户的最后登录 IP。

3. 实现 Django 的 django.contrib.sessions.SessionMiddleware 类的子类。 实施process_request。 如果 request.user 对象的配置文件模型没有 IP 地址，请设置它并允许该请求。 如果它有一个 IP，并且该 IP 与当前请求的 IP (request.META.REMOTE_ADDR) 不同，则执行您喜欢的任何操作，要么注销其他用户，要么向请求者。

4. 更新您的 settings.py 文件，以便首先处理您的自定义身份验证后端，并且也首先处理您的自定义会话中间件。 这涉及更新 settings.AUTHENTICATION_BACKENDS 和 settings.MIDDLEWARE_CLASSES。

Answer 4

您需要使用自定义中间件来完成此操作。

在您的中间件 process_request() 方法中，您将有权访问请求对象，因此您可以执行如下操作：

session_key = request.session.session_key
ip_address = request.META.get('REMOTE_ADDR', '')

现在您知道了 IP 地址，因此请检查您创建的模型（大致）会是什么样子像这样：

class SessionIPS(models.Model):
    session = models.ForeignKey(Session)
    IP = models.CharField(max_length=20)

因此，当创建或删除会话时，您将相应地修改会话 ip 表，并且当请求传入时，请确保该 IP 地址没有被其他会话使用。 如果是，则从中间件返回 Http404（或类似的内容）。

可以向您显示更多详细信息（甚至在其自己的模型中包含 IP 地址）的可插入应用程序是 django 跟踪。