Django 的自定义身份验证中间件和身份验证后端

Question

我正在编写一个自定义身份验证中间件，用于检查包含令牌的标头中“授权”键的传入请求。

我正在使用此令牌与第三方 (Microsoft Graph) 检查用户的有效性。 MS Graph 将响应如下对象

# the response object

{
    '@odata.context': 'https://graph.microsoft.com/v1.0/$metadata#users/$entity',
    'businessPhones': ['xxx'],
    'displayName': 'xxx',
    'givenName': 'xxx',
    'id': 'xxx',
    'jobTitle': None,
    'mail': 'xxx',
    'mobilePhone': None,
    'officeLocation': None,
    'preferredLanguage': 'xxx',
    'surname': 'xxx',
    'userPrincipalName': 'xxx'
}

编辑：在此处添加自定义中间件代码：

class AuthenticationMiddleware(MiddlewareMixin):
    if not request.user.is_authenticated:
        if "Authorization" in request.headers:
            # Make a request to MS Graph with the given token
            # to get user details and append to request
            token = request.headers["Authorization"]
        elif "accessToken" in request.GET:
            token = request.GET["accessToken"]
        else:
            token = None

        if token:
            url = "https://graph.microsoft.com/v1.0/me/"
            payload = {}
            headers = {"Authorization": "Bearer {}".format(token)}
            response = requests.request("GET", url, headers=headers, data=payload)
            if response.ok:
                request.custom_user = response.json()
            else:
                request.custom_user = AnonymousUser
        else:
            request.custom_user = AnonymousUser

现在我想将它设计为像 Django 的默认身份验证后端一样工作，并具有适当的组和权限。 我如何处理 LazyObject 以检查用户的组成员身份和权限？

更新

看起来还有一个像这样工作的自定义后端身份验证。

它和我用中间件做的事情一样吗？

from django.contrib.auth.backends import BaseBackend

class MyBackend(BaseBackend):
    def authenticate(self, request, token=None):
        # Check the token and return a user.
        ...

Answer 1

您应该自定义一个如下所示的中间件，并将其添加到设置中的中间件

class SimpleMiddleware:
    def __init__(self, get_response):
        self.get_response = get_response
        # One-time configuration and initialization.

    def __call__(self, request):
        # Code to be executed for each request before
        # the view (and later middleware) are called.

        response = self.get_response(request)

        # todo: do something you want in response 
        return response

另见： https : //docs.djangoproject.com/en/3.1/topics/http/middleware/

编辑：

它和我用中间件做的事情一样吗？

不，这不对。

最大的不同是后端用于连接数据库，中间件用于处理请求。 您可以在django.middleware包中找到更多示例代码。

如果您想自定义如何将信息保存到数据库，例如：客户authenticate方法，您应该为工作客户提供后端。 否则你可以定制一个中间件来处理所有的请求。 因为很容易定制中间件。