Django 中管理员和应用程序的不同会话

Question

我希望 Django 管理界面和应用程序本身有不同的会话，以便能够以管理员身份登录到管理界面，并以标准用户身份登录到应用程序。

有什么想法可以实现这一目标吗？

附注 当然，我可以使用 2 个不同的 Web 浏览器实例，还有其他方法吗？

Answer 1

我过去解决这个问题的方法是有两个不同的网址。 www.example.com 和 admin.example.com。由于会话存储在 cookie 中，并且 cookie 是特定于域的，因此您可以同时使用两者。

Answer 2

只是想鼓励使用 Bernhard Vallant 提出的解决方案。 实施和测试需要10分钟。 只需获取 SessionMiddleware 实现，制作您自己的版本，替换设置。SESSION_COOKIE_NAME 取决于请求路径是否以管理 url 开头 并替换 django.contrib.sessions.middleware.SessionMiddleware 中间件与您的 settings.py 中的新中间件

import time
from django.utils.cache import patch_vary_headers
from django.utils.http import cookie_date
from django.utils.importlib import import_module
class AdminCookieSessionMiddleware(object):

    def cookie_name(self, request):
        if request.path.startswith(u'/admin'):
            return settings.ADMIN_SESSION_COOKIE_NAME
        return settings.SESSION_COOKIE_NAME

    def process_request(self, request):
        engine = import_module(settings.SESSION_ENGINE)
        session_key = request.COOKIES.get(self.cookie_name(request), None)
        request.session = engine.SessionStore(session_key)

    def process_response(self, request, response):
        """
        If request.session was modified, or if the configuration is to save the
        session every time, save the changes and set a session cookie.
        """
        try:
            accessed = request.session.accessed
            modified = request.session.modified
        except AttributeError:
            pass
        else:
            if accessed:
                patch_vary_headers(response, ('Cookie',))
            if modified or settings.SESSION_SAVE_EVERY_REQUEST:
                if request.session.get_expire_at_browser_close():
                    max_age = None
                    expires = None
                else:
                    max_age = request.session.get_expiry_age()
                    expires_time = time.time() + max_age
                    expires = cookie_date(expires_time)
                # Save the session data and refresh the client cookie.
                # Skip session save for 500 responses, refs #3881.
                if response.status_code != 500:
                    request.session.save()
                    response.set_cookie(self.cookie_name(request),
                            request.session.session_key, max_age=max_age,
                            expires=expires, domain=settings.SESSION_COOKIE_DOMAIN,
                            path=settings.SESSION_COOKIE_PATH,
                            secure=settings.SESSION_COOKIE_SECURE or None,
                            httponly=settings.SESSION_COOKIE_HTTPONLY or None)
        return response

并在settings.py中

MIDDLEWARE_CLASSES = (
...
#'django.contrib.sessions.middleware.SessionMiddleware',
'path.to.your.AdminCookieSessionMiddleware',
... )
ADMIN_SESSION_COOKIE_NAME = 'somethingDifferentThanSESSION_COOKIE_NAME'

Answer 3

您还可以使用两个（略有不同）设置文件来实现此目的，每个文件都有不同的会话密钥名称：

在settings_app.py中：

SESSION_COOKIE_NAME = 'mysite_app'

在settings_admin.py中：

SESSION_COOKIE_NAME = 'mysite_admin'

我发现拥有不同的 urls.py 文件也很有用；虽然不是绝对必要的，但它确实有助于分离关注点。

Answer 4

我在 Django REST Framework 上也遇到了类似的问题，所以我的回答献给那些与我处境相同的人。

最有可能的是，如果您使用 DRF 遇到类似的问题，您的配置中允许使用会话进行授权。这在测试端点时很方便，但在大多数情况下，在生产中您不需要它，就像原则上的 BrowsableAPI 一样。

REST_FRAMEWORK = {
    'DEFAULT_AUTHENTICATION_CLASSES': (
        # UNCOMMENT IF YOU USE BROWSABLEAPI
        # 'rest_framework.authentication.SessionAuthentication',
        'rest_framework.authentication.TokenAuthentication',
    ),
    'DEFAULT_RENDERER_CLASSES': (
        # UNCOMMENT IF YOU USE BROWSABLEAPI
        # 'rest_framework.renderers.BrowsableAPIRenderer',
        'rest_framework.renderers.JSONRenderer',
    ),
}