Django中管理员和应用程序的不同会话

Posted 2023-03-08

技术标签:

【中文标题】Django中管理员和应用程序的不同会话【英文标题】：Different sessions for admin and applications in Django 【发布时间】：2011-04-21 05:52:17 【问题描述】：

我希望 Django 管理界面和应用程序本身有不同的会话，以便能够以管理员身份登录到管理界面并作为标准用户登录到应用程序。

有什么想法可以实现吗？

附：当然，我可以使用 2 个不同的 Web 浏览器实例，还有其他方式吗？

【问题讨论】：

听起来很有趣，因为它还应该让您有机会查看不同语言的前端/后端... 我怀疑使用 django.contrib.auth 是否可行，我希望您必须编写自己的解决方案，这将比仅使用 2 个不同的浏览器实例（或使用浏览器的隐私模式，例如 Chrome 隐身模式 - google.com/support/chrome/bin/answer.py?hl=en&answer=95464)。在前端和后端使用不同的会话 cookie/会话密钥应该不可能让它工作......我想你必须制作自己的会话中间件，检查它是否是管理员请求与否并处理两个不同的 cookie... 【参考方案1】：

只是想鼓励使用 Bernhard Valant 提出的解决方案。实施和测试需要 10 分钟。只需抓住 SessionMiddleware 实现，制作您自己的版本替换 settings.SESSION_COOKIE_NAME 取决于请求路径是否以管理员 url 开头并更换 django.contrib.sessions.middleware.SessionMiddleware 中间件与您在 settings.py 中的新中间件

import time
from django.utils.cache import patch_vary_headers
from django.utils.http import cookie_date
from django.utils.importlib import import_module
class AdminCookieSessionMiddleware(object):

    def cookie_name(self, request):
        if request.path.startswith(u'/admin'):
            return settings.ADMIN_SESSION_COOKIE_NAME
        return settings.SESSION_COOKIE_NAME

    def process_request(self, request):
        engine = import_module(settings.SESSION_ENGINE)
        session_key = request.COOKIES.get(self.cookie_name(request), None)
        request.session = engine.SessionStore(session_key)

    def process_response(self, request, response):
        """
        If request.session was modified, or if the configuration is to save the
        session every time, save the changes and set a session cookie.
        """
        try:
            accessed = request.session.accessed
            modified = request.session.modified
        except AttributeError:
            pass
        else:
            if accessed:
                patch_vary_headers(response, ('Cookie',))
            if modified or settings.SESSION_SAVE_EVERY_REQUEST:
                if request.session.get_expire_at_browser_close():
                    max_age = None
                    expires = None
                else:
                    max_age = request.session.get_expiry_age()
                    expires_time = time.time() + max_age
                    expires = cookie_date(expires_time)
                # Save the session data and refresh the client cookie.
                # Skip session save for 500 responses, refs #3881.
                if response.status_code != 500:
                    request.session.save()
                    response.set_cookie(self.cookie_name(request),
                            request.session.session_key, max_age=max_age,
                            expires=expires, domain=settings.SESSION_COOKIE_DOMAIN,
                            path=settings.SESSION_COOKIE_PATH,
                            secure=settings.SESSION_COOKIE_SECURE or None,
                            httponly=settings.SESSION_COOKIE_HTTPONLY or None)
        return response

在settings.py中

MIDDLEWARE_CLASSES = (
...
#'django.contrib.sessions.middleware.SessionMiddleware',
'path.to.your.AdminCookieSessionMiddleware',
... )
ADMIN_SESSION_COOKIE_NAME = 'somethingDifferentThanSESSION_COOKIE_NAME'

【讨论】：

上述解决方案存在问题。并非所有对管理界面的请求都带有“/admin”前缀。例如，如果您将 Grappelli 用于管理界面，您的管理动态 m2m 或自动完成查找将转到 'site.url/grappelli/lookup。因此，您还需要在上面示例中的 cookie_name 方法中处理该问题，因为在这种情况下，查找时会收到禁止的 403 响应。 csrf 令牌也存在问题，管理员和非管理员站点上的表单都会使用并覆盖它，因此 csrf cookie 名称也应该在管理员和非管理员站点之间变化。一些开发环境的不错的解决方案。顺便说一句，我认为 SessionMiddleware 的 inhreit 更好。【参考方案2】：

您也可以使用两个（非常不同的）设置文件来实现这一点，每个设置文件都有不同的会话密钥名称：

在 settings_app.py 中：