单次登录 session 用于 django 应用程序

Question

我有 Web 应用程序，其中 VUE 作为前端堆栈，Django DRF 作为后端堆栈这样做的机制

Answer 1

TL; DR 我什至不会费心去尝试。 但是，如果您愿意：使用 websockets 并跟踪连接到单个端点的用户数量。

这不是万无一失的，因为这些只是令牌，这意味着任何拥有终端和 curl 的人仍然可以访问您拥有的任何 REST API。

---

我认为您必须了解大多数人如何使用 Vue、React 和其他带有 Django 的 JS 框架。 他们很可能不使用 SessionMiddleware 并使用djangorestframework-simplejwt 之类的东西（免责声明：我帮助维护它，而且我对 JS 框架 + Django 有一点偏见）。

问题在于授权是如何工作的，即有状态和无状态。 在您使用这些令牌身份验证方法的情况下，您拥有仅通过签名验证的无状态令牌，而不是由服务器上的数据库/缓存支持的任何内容。 所以我们实际上并不知道用户打开了多少个标签。

在 SimpleJWT 中，我们有类似令牌黑名单的东西，但它并没有太大帮助。

所以解决方案是使用websockets。 您可以通过创建缓存密钥（由生产中的 Redis 或 Memcached 等服务支持，本地可以使用内存/ dummy）并根据连接和断开的数量递增和递减。

这样，您就可以在服务器上备份所有这些声明。

这不是万无一失的，因为这些只是令牌，这意味着任何拥有终端和 curl 的人仍然可以访问您拥有的任何 REST API。