OAuth2 在 Django 中的用户身份管理：基于可验证唯一标识的最佳实践

# settings.py
AUTH_USER_MODEL = 'yourapp.CustomUser' # 如果你使用了自定义User模型

# yourapp/models.py (示例：如果使用自定义User模型)
from django.contrib.auth.models import AbstractUser
from django.db import models

class CustomUser(AbstractUser):
    # 确保email字段是唯一的
    email = models.EmailField(unique=True, blank=False, null=False)
    # 你可能还需要添加一个字段来存储IdP提供的唯一ID，例如OpenID Connect的sub字段
    idp_sub = models.CharField(max_length=255, unique=True, blank=True, null=True)

    # 更改USERNAME_FIELD为email，如果希望用户使用email登录
    USERNAME_FIELD = 'email'
    REQUIRED_FIELDS = ['username'] # 如果USERNAME_FIELD不是username，则需要指定

import requests
from django.contrib.auth import get_user_model, login
from django.shortcuts import redirect
from django.conf import settings
from django.db import transaction

User = get_user_model()

def oauth2_callback_view(request):
    # 假设你已经通过授权码流程获取了access_token
    access_token = request.session.get('oauth2_access_token')
    if not access_token:
        # 处理错误，重定向到登录页
        return redirect('login')

    try:
        # 1. 使用access_token从IdP的用户信息端点获取用户数据
        userinfo_url = settings.OAUTH2_IDP_USERINFO_URL
        headers = {'Authorization': f'Bearer {access_token}'}
        response = requests.get(userinfo_url, headers=headers)
        response.raise_for_status() # 检查HTTP错误
        idp_user_data = response.json()

        # 2. 提取可验证的唯一标识符
        # 优先使用OpenID Connect的'sub'字段，如果可用且可靠
        # 否则使用'email'字段，并确保它是已验证的

        # 推荐：使用sub字段作为主要唯一标识
        idp_sub = idp_user_data.get('sub')
        if idp_sub:
            unique_identifier_field = 'idp_sub'
            unique_identifier_value = idp_sub
        else:
            # 如果没有sub字段，则使用email，但必须确保email是已验证的
            email = idp_user_data.get('email')
            email_verified = idp_user_data.get('email_verified', False) # OIDC标准字段
            if not email or not email_verified:
                raise ValueError("IdP未提供已验证的邮箱或OpenID Connect 'sub'字段。")
            unique_identifier_field = 'email'
            unique_identifier_value = email

        with transaction.atomic():
            # 3. 查找或创建Django用户
            try:
                # 尝试根据唯一标识符查找用户
                user = User.objects.get(**{unique_identifier_field: unique_identifier_value})
                print(f"用户 {user.username} 通过OAuth2登录。")
            except User.DoesNotExist:
                # 如果用户不存在，则创建新用户
                # 确保生成的username是唯一的，或者直接使用email作为username
                username_base = idp_user_data.get('preferred_username', idp_user_data.get('name', 'oauth_user'))

                # 创建一个唯一的username，如果User模型需要
                # 实际项目中，你可能需要一个更复杂的username生成逻辑
                username = username_base
                counter = 1
                while User.objects.filter(username=username).exists():
                    username = f"{username_base}_{counter}"
                    counter += 1

                user = User.objects.create_user(
                    username=username,
                    email=idp_user_data.get('email', ''), # 即使是sub登录，也建议存储email
                    first_name=idp_user_data.get('given_name', ''),
                    last_name=idp_user_data.get('family_name', ''),
                    **{unique_identifier_field: unique_identifier_value} # 存储IdP的唯一标识
                )
                print(f"新用户 {user.username} 通过OAuth2创建。")

            # 4. 登录用户
            login(request, user)
            return redirect(settings.LOGIN_REDIRECT_URL)

    except requests.exceptions.RequestException as e:
        # 处理API请求错误
        print(f"从IdP获取用户信息失败: {e}")
        return redirect('login_error_page') # 重定向到错误页面
    except ValueError as e:
        # 处理数据验证错误
        print(f"OAuth2身份验证数据错误: {e}")
        return redirect('login_error_page')
    except Exception as e:
        # 捕获其他未知错误
        print(f"OAuth2登录过程中发生未知错误: {e}")
        return redirect('login_error_page')