Django OAuth2 用户身份管理：安全与唯一性最佳实践

from django.db import models
from django.contrib.auth.models import AbstractUser

class CustomUser(AbstractUser):
    # 继承 AbstractUser，其已包含 username 和 email 字段。
    # 我们确保 email 字段是唯一的，这是关联 IdP 用户身份的关键。
    email = models.EmailField(unique=True, verbose_name="邮箱地址")

    # 强烈建议存储 IdP 提供的全局唯一用户 ID (如 OpenID Connect 的 'sub' claim)。
    # 这是一个最可靠的跨系统唯一标识符。
    idp_unique_id = models.CharField(
        max_length=255,
        unique=True,
        null=True,
        blank=True,
        verbose_name="IdP唯一用户ID",
        help_text="身份提供商提供的全局唯一用户标识符"
    )

    # 如果希望以 email 作为登录凭据，可以设置 USERNAME_FIELD
    # USERNAME_FIELD = 'email'
    # REQUIRED_FIELDS = ['username'] # 如果 email 是 USERNAME_FIELD，则 username 仍然需要

    class Meta:
        verbose_name = '用户'
        verbose_name_plural = '用户'

    def __str__(self):
        # 优先显示用户名，如果没有则显示邮箱
        return self.username if self.username else self.email

# settings.py
AUTH_USER_MODEL = 'your_app_name.CustomUser'

from django.contrib.auth import login
from django.shortcuts import redirect
from .models import CustomUser # 假设 CustomUser 在当前应用的 models.py 中

def oauth2_callback_view(request):
    # ... (此处省略获取 access_token 和 user_info 的具体 OAuth2 客户端逻辑)
    # 假设你已经成功获取到 IdP 返回的用户信息，例如：
    user_info = {
        'email': 'user@example.com',
        'username': 'oauth_user_name', # IdP 可能提供用户名
        'idp_sub': 'unique_id_from_idp_12345', # IdP 提供的唯一ID
        # ... 其他信息
    }

    idp_sub = user_info.get('idp_sub')
    email = user_info.get('email')

    user = None

    # 1. 优先使用 IdP 提供的全局唯一 ID (sub) 进行查找
    if idp_sub:
        try:
            user = CustomUser.objects.get(idp_unique_id=idp_sub)
        except CustomUser.DoesNotExist:
            pass # 未找到，继续尝试用 email 查找或创建

    # 2. 如果未通过 idp_sub 找到，或者 IdP 未提供 idp_sub，则尝试使用 email 查找
    if not user and email:
        try:
            user = CustomUser.objects.get(email=email)
            # 如果通过 email 找到了用户，但其 idp_unique_id 字段为空，
            # 可以在此时更新，将 IdP 的唯一 ID 关联到现有用户。
            if not user.idp_unique_id and idp_sub:
                user.idp_unique_id = idp_sub
                user.save()
        except CustomUser.DoesNotExist:
            pass # 未找到，准备创建新用户

    # 3. 如果用户仍然不存在，则创建新用户
    if not user:
        # 确保 username 字段有值，如果 IdP 未提供，可以基于 email 生成
        username = user_info.get('username') or email.split('@')[0]

        # 避免用户名冲突，可以添加一些后缀或生成策略
        # 如果 AbstractUser 的 username 字段是 unique=True，需要确保生成的是唯一的。
        # 这里假设 username 可以重复或者已经处理了唯一性。
        # 如果你的 CustomUser 的 USERNAME_FIELD 是 email，则无需担心 username 唯一性。

        user = CustomUser.objects.create(
            username=username,
            email=email,
            idp_unique_id=idp_sub,
            # 根据需要填充其他用户字段
        )
        # OAuth2 登录的用户不需要密码，设置一个不可用的密码
        user.set_unusable_password()
        user.save()

    # 4. 登录用户
    login(request, user)
    return redirect('your_success_url') # 重定向到登录成功后的页面