如何在由“站点”支持的多个 Django 站点上获取唯一用户框架？

Question

我正在构建一个 Django 站点框架，它将为多个独立站点提供支持，所有站点都使用相同的应用程序，但具有自己的模板。我计划通过使用多个设置文件并为它们设置唯一的 SITE_ID 来实现此目的，就像 Django 文档中针对 django.contrib.sites Framework

但是，我不希望站点 A 的用户能够登录站点 B。在检查了由syncdb创建的用户表后，我看不到可能将用户限制到特定站点的列。我还尝试在一个站点上创建一个用户“bob”，然后使用 shell 命令列出另一侧的所有用户，果然，bob 出现在那里。

如何确保所有用户都仅限于各自的网站？

Answer 1

最兼容的方法是创建一个 用户配置文件模型，其中包含站点模型的外键，然后编写 自定义身份验证后端，根据该 FK 的值检查当前站点。一些示例代码：

定义您的配置文件模型，比方说在 app/models.py 中：

from django.db import models
from django.contrib.sites.models import Site
from django.contrib.auth.models import User

class UserProfile(models.Model):
    user = models.OneToOneField(User)
    site = models.ForeignKey(Site)

编写自定义身份验证后端，继承默认后端，比方说在 app/auth_backend.py 中：

from django.contrib.auth.backends import ModelBackend
from django.contrib.sites.models import Site

class SiteBackend(ModelBackend):
    def authenticate(self, **credentials):
        user_or_none = super(SiteBackend, self).authenticate(**credentials)
        if user_or_none and user_or_none.userprofile.site != Site.objects.get_current():
            user_or_none = None
        return user_or_none

    def get_user(self, user_id):
        try:
            return User.objects.get(
                pk=user_id, userprofile__site=Site.objects.get_current())
        except User.DoesNotExist:
            return None

此身份验证后端假设所有用户都有一个配置文件；您需要确保您的用户创建/注册过程始终创建一个。

重写的 authenticate 方法可确保用户只能登录正确的站点。每个请求都会调用 get_user 方法，根据用户会话中存储的身份验证信息从数据库中获取用户；我们的覆盖确保用户无法登录站点 A，然后使用相同的会话 cookie 获得对站点 B 的未经授权的访问。（感谢 Jan Wrobel 指出需要处理后一种情况。）

Answer 2

您可以插入考虑站点 ID 的自己的授权和身份验证后端。

请参阅 django 文档上的其他身份验证源 身份验证后端参考

除此之外，如果您django源太旧了，你可以自己修改authenticate()或login()代码。毕竟……这不是开源的奇迹之一吗？请注意，这样做可能会影响与其他模块的兼容性。

希望这有帮助。

Answer 3

你必须知道，很多人抱怨 Django 默认的授权系统和权限 - 它只有对象和对象实例的简单规则 - 这意味着什么，如果不编写任何代码，这是不可能的。

但是，有一些授权挂钩可以帮助您实现此目标，例如：

看看那里：
http://code.djangoproject.com/browser/ django/trunk/django/contrib/auth/models.py
并获得班级许可。

您可以添加自己的权限并为其定义规则（用户和内容类型有一个外键）。

然而，如果没有猴子修补/改变一些方法，这可能会很困难。