Django Channels 认证机制深度解析-优快云博客

本文链接：https://blog.youkuaiyun.com/gitblog_00792/article/details/148487333

Django Channels 认证机制深度解析

channels Developer-friendly asynchrony for Django 项目地址: https://gitcode.com/gh_mirrors/ch/channels

概述

Django Channels 作为 Django 的异步扩展，提供了强大的实时功能支持。在构建实时应用时，认证机制是保障系统安全的重要环节。本文将深入探讨 Channels 中的认证系统，包括标准 Django 认证集成、自定义认证方案实现以及用户登录登出的最佳实践。

标准 Django 认证集成

Channels 原生支持 Django 的标准认证系统，这种认证方式将会话(Session)中存储的用户信息映射到消费者的作用域(scope)中。

认证中间件栈

Channels 提供了三个核心中间件协同工作：

CookieMiddleware：处理 HTTP cookies
SessionMiddleware：管理会话状态
AuthMiddleware：提供用户认证功能

为方便使用，Channels 提供了组合中间件 AuthMiddlewareStack，它包含了上述所有中间件。在 ASGI 应用中，建议将这些中间件包装在较高级别的组件上，如 URL 路由器：

from channels.routing import ProtocolTypeRouter, URLRouter
from channels.auth import AuthMiddlewareStack
from channels.security.websocket import AllowedHostsOriginValidator

application = ProtocolTypeRouter({
    "websocket": AllowedHostsOriginValidator(
        AuthMiddlewareStack(
            URLRouter([
                path("chat/", consumers.ChatConsumer.as_asgi()),
            ])
        )
    ),
})

用户对象访问

在消费者中，可以通过 scope["user"] 访问当前用户：

class ChatConsumer(WebsocketConsumer):
    def connect(self):
        if self.scope["user"].is_authenticated:
            self.accept()
        else:
            self.close()

自定义认证方案

当标准会话认证不满足需求时，可以实现自定义认证中间件。自定义中间件本质上是一个可调用对象，它包装 ASGI 应用并返回新的 ASGI 应用。

自定义中间件示例

以下示例展示了如何从查询字符串中获取用户 ID 进行认证：

from channels.db import database_sync_to_async

@database_sync_to_async
def get_user(user_id):
    try:
        return User.objects.get(id=user_id)
    except User.DoesNotExist:
        return AnonymousUser()

class QueryAuthMiddleware:
    def __init__(self, app):
        self.app = app

    async def __call__(self, scope, receive, send):
        if b"user_id" in scope["query_string"]:
            user_id = parse_qs(scope["query_string"])[b"user_id"][0]
            scope['user'] = await get_user(int(user_id))
        
        return await self.app(scope, receive, send)

注意事项

自定义认证方案应考虑安全性，避免 SQL 注入等风险
对于非 HTTP 协议，可以基于协议特定信息(如聊天用户名)实现认证
建议在中间件中进行输入验证和清理

用户登录与登出管理

Channels 提供了与 Django 认证系统类似的登录登出功能。

登录实现

在消费者中登录用户：

from channels.auth import login

class ChatConsumer(AsyncWebsocketConsumer):
    async def receive(self, text_data):
        user = await authenticate(username=..., password=...)
        if user:
            await login(self.scope, user)
            await database_sync_to_async(self.scope["session"].save)()

登出实现

from channels.auth import logout

class ChatConsumer(AsyncWebsocketConsumer):
    async def disconnect(self, close_code):
        await logout(self.scope)
        await database_sync_to_async(self.scope["session"].save)()

同步消费者中的处理

在同步消费者中，需要使用 async_to_sync 包装异步函数：

from asgiref.sync import async_to_sync
from channels.auth import login

class SyncChatConsumer(WebsocketConsumer):
    def receive(self, text_data):
        user = authenticate(username=..., password=...)
        if user:
            async_to_sync(login)(self.scope, user)
            self.scope["session"].save()