深入理解Django自定义用户模型与管理：解决管理员登录失败问题-Python教程-PHP中文网

深入理解Django自定义用户模型与管理：解决管理员登录失败问题

本文旨在解决django自定义用户模型在实现过程中，因重复定义内置字段和方法导致的管理员登录失败问题。通过分析`abstractbaseuser`和`permissionsmixin`的内部机制，我们将展示如何正确地构建自定义用户模型，避免常见的陷阱，并确保管理员账户能够正常登录。

Django自定义用户模型：基础与常见陷阱

在Django中，当内置的User模型无法满足特定业务需求时（例如，使用电子邮件而非用户名作为登录凭证），我们可以通过继承AbstractBaseUser和PermissionsMixin来创建自定义用户模型。AbstractBaseUser提供了核心的认证功能，包括密码管理、会话管理等；而PermissionsMixin则提供了权限管理功能，如is_superuser和user_permissions。

然而，在实现自定义用户模型时，一个常见的错误是重复定义或不当处理由这些基类提供的关键字段和方法，特别是与密码和超级用户状态相关的部分。这可能导致即使使用正确的凭据，管理员也无法登录Django管理后台，并收到“请输入正确的电子邮件和密码以登录员工账户”的错误提示。

问题分析：为什么管理员无法登录？

当自定义用户模型继承自AbstractBaseUser时，Django的认证系统期望通过其内置的机制来处理用户密码的存储（通常是哈希值）和验证。AbstractBaseUser默认提供了password字段（存储哈希密码）、set_password()方法（用于设置密码并自动哈希）以及check_password()方法（用于验证密码）。

如果我们在自定义模型中显式地定义了password字段，并可能重写了check_password方法，就可能覆盖或绕过Django的默认行为。例如，如果自定义的password字段存储的是明文密码，或者自定义的check_password方法只是简单地比较明文，那么即使数据库中的密码是哈希过的，验证逻辑也会失败。此外，is_superuser字段也是由PermissionsMixin提供的，不应在自定义模型中重复定义。

示例：导致问题的自定义用户模型结构

考虑以下自定义用户模型，它尝试使用电子邮件作为USERNAME_FIELD：

from django.utils import timezone
from django.db import models
from django.contrib.auth.models import AbstractBaseUser, PermissionsMixin, UserManager

class CustomerManager(UserManager):
    def _create_user(self, email, password, **extra_fields):
        if not email:
            raise ValueError('Customers must have an email address')
        email = self.normalize_email(email) # 规范化邮件地址
        user = self.model(
            email=email,
            **extra_fields
        )
        user.set_password(password) # 使用内置的set_password方法哈希密码
        user.save(using=self._db)
        return user

    def create_user(self, email=None, password=None, **extra_fields):
        extra_fields.setdefault('is_superuser', False)
        extra_fields.setdefault('is_staff', False)
        return self._create_user(email, password, **extra_fields)

    def create_superuser(self, name, last_name, email, phone, password, **kwargs):
        kwargs.setdefault('is_superuser', True)
        kwargs.setdefault('is_staff', True)
        # 注意：这里传递的password应该由_create_user处理哈希
        return self._create_user(email, password, **kwargs)

class Customers (AbstractBaseUser, PermissionsMixin):
    name = models.CharField(max_length=20)
    last_name = models.CharField(max_length=20)
    email = models.EmailField(blank=False, unique=True)
    phone = models.CharField(max_length=15)
    password = models.CharField(max_length=20) # ❌ 错误：重复定义

    is_active = models.BooleanField(default=True)
    is_staff = models.BooleanField(default=False)
    is_superuser = models.BooleanField(default=False) # ❌ 错误：重复定义

    date_joined = models.DateTimeField(default=timezone.now)
    last_login = models.DateTimeField(blank=True, null=True)
    objects = CustomerManager()

    USERNAME_FIELD = 'email'
    EMAIL_FIELD = 'email'
    REQUIRED_FIELDS = ['name', 'last_name', 'phone']

    class Meta:
        verbose_name = 'Customer'
        verbose_name_plural = 'Customers'

    def get_full_name(self):
        return self.name + ' ' + self.last_name

    def get_short_name(self):
        return self.name

    def check_password(self, password): # ❌ 错误：重写了内置方法，且实现不正确
        return self.password == password # 错误：直接比较明文与存储的哈希值

登录后复制

在这个例子中，Customers模型中显式定义了password和is_superuser字段。AbstractBaseUser已经提供了password字段，并且会自动处理密码的哈希存储。PermissionsMixin也提供了is_superuser字段。更严重的是，自定义的check_password方法直接比较明文密码和self.password，而self.password在数据库中通常是哈希值，导致验证失败。

解决方案：移除冗余字段和方法

解决此问题的关键在于信任并利用AbstractBaseUser和PermissionsMixin提供的内置功能。我们应该移除自定义模型中与它们重复的字段和方法。

拍我AI

AI视频生成平台PixVerse的国内版本

353

查看详情

核心修改点：

移除 password 字段： AbstractBaseUser已提供此字段，并负责密码的哈希存储。
移除 is_superuser 字段： PermissionsMixin已提供此字段，用于权限管理。
移除自定义的 check_password 方法： AbstractBaseUser已提供功能完善的check_password方法，它能够正确地验证哈希密码。

示例：修正后的自定义用户模型结构

from django.utils import timezone
from django.db import models
from django.contrib.auth.models import AbstractBaseUser, PermissionsMixin, UserManager

# CustomerManager 保持不变，因为它正确使用了user.set_password
class CustomerManager(UserManager):
    def _create_user(self, email, password, **extra_fields):
        if not email:
            raise ValueError('Customers must have an email address')
        email = self.normalize_email(email)
        user = self.model(
            email=email,
            **extra_fields
        )
        user.set_password(password) # 使用AbstractBaseUser提供的set_password方法
        user.save(using=self._db)
        return user

    def create_user(self, email=None, password=None, **extra_fields):
        extra_fields.setdefault('is_superuser', False)
        extra_fields.setdefault('is_staff', False)
        return self._create_user(email, password, **extra_fields)

    def create_superuser(self, name, last_name, email, phone, password, **kwargs):
        kwargs.setdefault('is_superuser', True)
        kwargs.setdefault('is_staff', True)
        return self._create_user(email, password, **kwargs)

class Customers (AbstractBaseUser, PermissionsMixin):
    name = models.CharField(max_length=20)
    last_name = models.CharField(max_length=20)
    email = models.EmailField(blank=False, unique=True)
    phone = models.CharField(max_length=15)
    # 移除了 password 字段，由 AbstractBaseUser 提供

    is_active = models.BooleanField(default=True)
    is_staff = models.BooleanField(default=False)
    # 移除了 is_superuser 字段，由 PermissionsMixin 提供

    date_joined = models.DateTimeField(default=timezone.now)
    last_login = models.DateTimeField(blank=True, null=True)
    objects = CustomerManager()

    USERNAME_FIELD = 'email'
    EMAIL_FIELD = 'email'
    REQUIRED_FIELDS = ['name', 'last_name', 'phone']

    class Meta:
        verbose_name = 'Customer'
        verbose_name_plural = 'Customers'

    def get_full_name(self):
        return self.name + ' ' + self.last_name

    def get_short_name(self):
        return self.name

    # 移除了自定义的 check_password 方法，由 AbstractBaseUser 提供

登录后复制

重要步骤：

修改模型后，执行数据库迁移：
```
python manage.py makemigrations your_app_name
python manage.py migrate
```
登录后复制
这将确保数据库模式与修正后的模型定义一致。
重新创建超级用户（如果需要）： 如果旧的超级用户因密码处理不当而无法登录，建议删除并重新创建一个。
```
python manage.py createsuperuser
```
登录后复制
在创建过程中，确保提供正确的电子邮件、密码和REQUIRED_FIELDS中定义的其他信息。

注意事项与最佳实践

AUTH_USER_MODEL 设置： 务必在settings.py中正确指定自定义用户模型，例如：AUTH_USER_MODEL = 'customers.Customers'。
UserManager 的使用： 继承UserManager并重写_create_user、create_user和create_superuser是管理自定义用户创建的推荐方式。确保在_create_user中调用user.set_password(password)，让Django自动处理密码哈希。
USERNAME_FIELD 和 REQUIRED_FIELDS： USERNAME_FIELD定义了用于登录的唯一标识符（例如'email'）。REQUIRED_FIELDS是一个列表，包含在createsuperuser命令交互式创建用户时必须提供的字段（不包括USERNAME_FIELD和密码）。
不要轻易重写内置方法： 除非你非常清楚其内部工作原理并且有充分的理由，否则应避免重写AbstractBaseUser和PermissionsMixin提供的核心认证和权限方法，如set_password、check_password、get_group_permissions等。
密码安全性： 始终使用Django内置的密码哈希机制，不要存储明文密码。