Django 自定义身份验证中间件和身份验证后端

Question

我正在编写一个自定义身份验证中间件，用于检查标头中“授权”键的传入请求，其中包含一个令牌。

我正在使用此令牌与第三方 (Microsoft Graph) 检查用户的有效性。 MS Graph 将响应如下对象

# the response object

{
    '@odata.context': 'https://graph.microsoft.com/v1.0/$metadata#users/$entity',
    'businessPhones': ['xxx'],
    'displayName': 'xxx',
    'givenName': 'xxx',
    'id': 'xxx',
    'jobTitle': None,
    'mail': 'xxx',
    'mobilePhone': None,
    'officeLocation': None,
    'preferredLanguage': 'xxx',
    'surname': 'xxx',
    'userPrincipalName': 'xxx'
}

编辑：在此处添加自定义中间件代码：

class AuthenticationMiddleware(MiddlewareMixin):
    if not request.user.is_authenticated:
        if "Authorization" in request.headers:
            # Make a request to MS Graph with the given token
            # to get user details and append to request
            token = request.headers["Authorization"]
        elif "accessToken" in request.GET:
            token = request.GET["accessToken"]
        else:
            token = None

        if token:
            url = "https://graph.microsoft.com/v1.0/me/"
            payload = {}
            headers = {"Authorization": "Bearer {}".format(token)}
            response = requests.request("GET", url, headers=headers, data=payload)
            if response.ok:
                request.custom_user = response.json()
            else:
                request.custom_user = AnonymousUser
        else:
            request.custom_user = AnonymousUser

现在我想将其设计为像 Django 的默认身份验证后端一样工作，并具有适当的组和权限。如何使用 LazyObject 来检查用户的组成员资格和权限？

更新

看起来还有一个像这样工作的自定义后端身份验证。

它和我对中间件做的事情一样吗？

from django.contrib.auth.backends import BaseBackend

class MyBackend(BaseBackend):
    def authenticate(self, request, token=None):
        # Check the token and return a user.
        ...

Answer 1

您应该像下面这样自定义一个中间件，并将其添加到设置中的中间件

class SimpleMiddleware:
    def __init__(self, get_response):
        self.get_response = get_response
        # One-time configuration and initialization.

    def __call__(self, request):
        # Code to be executed for each request before
        # the view (and later middleware) are called.

        response = self.get_response(request)

        # todo: do something you want in response 
        return response

另见：https://docs.djangoproject.com/en/3.1/topics/http/middleware/

编辑：

它和我对中间件做的事情一样吗？

不，不是。

最不同的是 后端用于连接数据库，中间件用于处理请求。您可以在django.middleware 包中找到更多示例代码。

如果您想定制如何将信息保存到数据库，例如：客户authenticate 方法，您应该为工作客户定制一个后端。否则你可以定制一个中间件来处理所有的请求。因为中间件很容易定制。