Django：完全自定义的身份验证问题。请帮忙

Question

我正在创建一个多租户应用程序，它不会使用任何标准 Django Admin（内部使用除外，它将可以访问所有租户......这很简单）。我正在尝试创建自己的授权系统，并且对使用标准用户模型（或任何内置应用程序的模型）不感兴趣。我的应用程序将有帐户，每个帐户将有管理员（出于名称冲突的目的，必须使用管理员与用户）。这些用户将使用我自己的完全定制的系统进行身份验证。难道这一切都是错的吗？我是否应该/可以在使用我自己的自定义界面的多租户情况下仍然使用 Django 的身份验证系统（就像之前提到的，我不会允许帐户持有者使用默认的管理界面）。使用我自己的系统是否存在安全隐患，或者 Django 的标准安全元素（例如会话劫持预防）是否可以保护我？

在我看来，很多 Django 都是围绕使用 Admin 界面的想法构建的，而不是使用自己的 Admin 构建多租户 SAAS 软件。难道我的想法全错了？

Answer 1

你绝对应该使用 Django auth 系统，它仍然可以满足你 90% 的需要。

我在一个项目中构建了与您的场景一模一样的内容：公司帐户，每个帐户都有管理员用户和多个普通用户。

以下是我使用的模型结构：

class Account(models.Model): # represents copporate customer
    admin = models.ForeignKey(User)
    # other fields ...

class UserProfile(models.Model):
    user = models.ForeignKey(User)
    account = models.ForeignKey(Account)

以及使用自定义装饰器在视图级别强制执行授权要求的一些示例：

@account_access_required # request.user.get_profile().account == account
def account_page(request, account_id):
    # ...

@account_admin_required # request.user == account.admin
def account_users(request, account_id):
    # ...

我们实际上使用帐户的子域，因此不需要显式的 account_id 参数。

为帐户管理员使用自定义界面是非常合理的。 Django 管理界面仅适用于 100% 受信任的用户，例如系统管理员和内部支持人员。