在Django应用中，每个用户只允许单个活动会话

Question

我想限制登录的用户只有一个活动会话，即，如果用户使用新的SessionID登录，则应终止旧会话。 我已经找到了很多帮助： 在这里 and 和>在这里

我实现了中间件解决方案，还有一些额外的检查...

class OnlyOneUserMiddleware(object):
"""
Middleware to ensure that a logged-in user only has one session active.
Will kick out any previous session. 
"""
def process_request(self, request):
    if request.user.is_authenticated():
        try:
            cur_session_key = request.user.get_profile().session_key
            if cur_session_key and cur_session_key != request.session.session_key:
                # Default handling... kick the old session...
                Session.objects.get(session_key=cur_session_key).delete()
            if not cur_session_key or cur_session_key != request.session.session_key:
                p = request.user.get_profile()
                p.session_key = request.session.session_key
                p.save()
        except ObjectDoesNotExist:
            pass

，很好...

到目前为止 mod_wsgi），它行不通！

我试图找到有关此信息的任何信息，但是到目前为止还没有运气...

我发现的最接近的是 this ，但这是“相反的”问题……

任何帮助都将不胜感激。

编辑：在删除会话之前，我添加了调试打印... 片段。

[Fri Jan 20 09:56:50 2012] [error] old key = f42885ccb7f33b6afcb2c18fca14f44a
[Fri Jan 20 09:56:50 2012] [error] new key = ce4cfb672e6025edb8ffcd0cf2b4b8d1
[Fri Jan 20 09:57:14 2012] [error] old key = f42885ccb7f33b6afcb2c18fca14f44a
[Fri Jan 20 09:57:14 2012] [error] new key = 0815c56241ac21cf4b14b326f0aa7e24

错误

的

这是apache 记录不会被删除... ???

我正在运行与与devServer的postgresql实例完全相同...

edit2：事实证明我的代码是故障...当新的session_key中未找到新的session_key ...

这是 失败的...固定代码...尝试..外面现在位于正确的位置

class OnlyOneUserMiddleware(object):
    """
    Middleware to ensure that a logged-in user only has one session active.
    Will kick out any previous session. 
    """
    def process_request(self, request):
        if request.user.is_authenticated():
            cur_session_key = request.user.get_profile().session_key
            if cur_session_key and cur_session_key != request.session.session_key:
                # Default handling... kick the old session...
                try:
                    s = Session.objects.get(session_key=cur_session_key)
                    s.delete()
                except ObjectDoesNotExist:
                    pass
            if not cur_session_key or cur_session_key != request.session.session_key:
                p = request.user.get_profile()
                p.session_key = request.session.session_key
                p.save()

Answer 1

确实到处都有很多类似的问题，但这是我的解决方案。

当用户登录时，检查所有活动会话并删除具有相同 user.id 的会话。对于较小的网站，这应该就可以了。

# __init__.py
# Logs user out from all other sessions on login, django 1.8

from django.contrib.sessions.models import Session
from django.contrib.auth.signals import user_logged_in
from django.db.models import Q
from django.utils import timezone

def limit_sessions(sender, user, request, **kwargs):
    # this will be slow for sites with LOTS of active users

    for session in Session.objects.filter(
        ~Q(session_key = request.session.session_key),
        expire_date__gte = timezone.now()
    ):
        data = session.get_decoded()
        if data.get('_auth_user_id', None) == str(user.id):
            # found duplicate session, expire it
            session.expire_date = timezone.now()
            session.save()

    return

user_logged_in.connect(limit_sessions)

Answer 2

您始终可以使用这种方法，尽管不建议使用这种方法。

my_old_sessions = Session.objects.all()
for row in my_old_sessions:
   if row.get_decoded().get("_username") == request.user.username:
      row.delete()

在对用户进行身份验证之前，您将在登录（）函数中实现上述代码。

当然，只有在您有一个登录（）函数方法的情况下，该方法将用户在他的会话中存储用户，如下所示：

request.session["_username"] = request.user.username

如果您使用此方法，请记住在完成后运行服务器之前将所有会话的数据库清空这些更改是因为它会引起密钥lookup错误。

Answer 3

我觉得，以某种方式，django.contrib.auth信号可以在这里提供帮助。登录时，使较旧的用户会话无效。