Django用户不活动自动登出与后端状态更新策略

# settings.py

# 设置会话cookie的年龄，单位为秒。例如，30分钟（30 * 60 = 1800秒）
SESSION_COOKIE_AGE = 1800 # 30分钟

# 如果设置为True，当浏览器关闭时会话cookie将过期
# SESSION_EXPIRE_AT_BROWSER_CLOSE = False

# 是否在每个请求时更新会话过期时间。如果设置为True，用户每次活动都会刷新会话。
SESSION_SAVE_EVERY_REQUEST = True

# your_app/middleware.py

from django.contrib.auth import logout
from django.utils import timezone
from datetime import timedelta

class InactivityMiddleware:
    def __init__(self, get_response):
        self.get_response = get_response
        # 可配置的不活动超时时间，例如30分钟
        self.inactivity_timeout = timedelta(minutes=30) 

    def __call__(self, request):
        if request.user.is_authenticated:
            # 检查会话中是否有上次活动时间
            last_activity_str = request.session.get('last_activity')
            if last_activity_str:
                last_activity = timezone.datetime.fromisoformat(last_activity_str)
                # 如果超过不活动超时时间，则登出用户
                if (timezone.now() - last_activity) > self.inactivity_timeout:
                    # 更新用户模型状态（假设User模型有一个is_active字段）
                    # 或者更新关联的用户Profile模型
                    if hasattr(request.user, 'profile'): # 假设用户有一个profile外键关联
                        request.user.profile.isCurrentlyActive = False
                        request.user.profile.save()
                    elif hasattr(request.user, 'isCurrentlyActive'): # 如果User模型直接有此字段
                        request.user.isCurrentlyActive = False
                        request.user.save()

                    logout(request)
                    # 清除会话中的last_activity，防止重定向后再次触发
                    if 'last_activity' in request.session:
                        del request.session['last_activity']
                    return self.get_response(request) # 继续处理请求，但用户已登出

            # 每次请求都更新会话中的最后活动时间
            request.session['last_activity'] = timezone.now().isoformat()

            # 确保用户状态为活跃（在每个请求时更新）
            if hasattr(request.user, 'profile'):
                request.user.profile.isCurrentlyActive = True
                request.user.profile.save()
            elif hasattr(request.user, 'isCurrentlyActive'):
                request.user.isCurrentlyActive = True
                request.user.save()

        response = self.get_response(request)
        return response

# settings.py

MIDDLEWARE = [
    # ... 其他中间件
    'your_app.middleware.InactivityMiddleware', # 确保在AuthenticationMiddleware之后
    # ...
]

# your_app/tasks.py

from celery import shared_task
from django.utils import timezone
from datetime import timedelta
from django.contrib.sessions.models import Session
from django.contrib.auth.models import User # 假设你的User模型

@shared_task
def check_inactive_users():
    inactivity_timeout = timedelta(minutes=30)
    now = timezone.now()

    # 假设你的User模型或Profile模型有一个last_activity字段
    # 查找所有当前被标记为活跃的用户
    # 这里需要根据你的实际模型结构进行调整
    # 例如，如果User模型直接有isCurrentlyActive字段
    inactive_users = User.objects.filter(
        isCurrentlyActive=True,
        last_activity__lt=now - inactivity_timeout
    )

    for user in inactive_users:
        user.isCurrentlyActive = False
        user.save()

        # 尝试清除该用户的所有会话
        # 注意：这只会使现有会话失效，不会立即强制浏览器登出
        for session in Session.objects.filter(expire_date__gt=now):
            session_data = session.get_decoded()
            if '_auth_user_id' in session_data and str(session_data['_auth_user_id']) == str(user.id):
                session.delete()

        print(f"User {user.username} marked as inactive and sessions cleared.")

# 在settings.py中配置Celery Beat调度
# CELERY_BEAT_SCHEDULE = {
#     'check-inactive-users-every-minute': {
#         'task': 'your_app.tasks.check_inactive_users',
#         'schedule': timedelta(minutes=1),
#     },
# }