Django用户不活跃自动登出与后端状态更新：会话管理与定时任务的实践

# settings.py

# 会话cookie的年龄（秒），默认两周
SESSION_COOKIE_AGE = 60 * 60 * 24 * 7  # 例如，设置为7天

# 设置为True时，浏览器关闭时会话cookie将过期
SESSION_EXPIRE_AT_BROWSER_CLOSE = False

from django.contrib.auth import login, logout

def my_login_view(request):
    # ... 用户登录逻辑 ...
    if user:
        login(request, user)
        # 设置会话在30分钟后过期
        request.session.set_expiry(60 * 30)
        return redirect('dashboard')
    # ...

def my_logout_view(request):
    logout(request)
    # 清除会话过期设置，如果需要的话
    request.session.set_expiry(0) # 立即过期
    return redirect('home')

# models.py
from django.db import models
from django.contrib.auth.models import AbstractUser

class CustomUser(AbstractUser):
    # ... 其他字段 ...
    last_activity = models.DateTimeField(null=True, blank=True)
    is_currently_active = models.BooleanField(default=False) # 新增字段
    # ...

# 或者如果你使用Profile模型关联：
# from django.contrib.auth.models import User
# class Profile(models.Model):
#     user = models.OneToOneField(User, on_delete=models.CASCADE)
#     last_activity = models.DateTimeField(null=True, blank=True)
#     is_currently_active = models.BooleanField(default=False)

# myapp/middleware.py
from django.utils import timezone

class UserActivityMiddleware:
    def __init__(self, get_response):
        self.get_response = get_response

    def __call__(self, request):
        if request.user.is_authenticated:
            # 更新用户的最后活跃时间
            request.user.last_activity = timezone.now()
            request.user.is_currently_active = True # 标记为活跃
            request.user.save(update_fields=['last_activity', 'is_currently_active'])

        response = self.get_response(request)
        return response

# settings.py

MIDDLEWARE = [
    # ... 其他中间件 ...
    'django.contrib.sessions.middleware.SessionMiddleware',
    'django.contrib.auth.middleware.AuthenticationMiddleware',
    'myapp.middleware.UserActivityMiddleware', # 你的自定义中间件
    # ...
]

# myapp/tasks.py
from celery import shared_task
from django.utils import timezone
from datetime import timedelta
from django.contrib.sessions.models import Session
from django.conf import settings

# 假设你的用户模型是 CustomUser
from myapp.models import CustomUser 

@shared_task
def check_and_logout_inactive_users():
    inactivity_threshold = timedelta(minutes=30) # 例如，30分钟不活跃

    # 找出所有已登录且超过不活跃阈值的用户
    # 注意：这里假设 is_currently_active 字段在用户活动时会被中间件设置为 True
    inactive_users = CustomUser.objects.filter(
        is_currently_active=True,
        last_activity__lt=timezone.now() - inactivity_threshold
    )

    for user in inactive_users:
        # 1. 更新用户状态
        user.is_currently_active = False
        user.save(update_fields=['is_currently_active'])
        print(f"User {user.username} marked as inactive.")

        # 2. 销毁其所有活动会话
        # 注意：Django的Session模型不直接关联User，需要通过session_key找到
        # 实际操作可能需要更复杂的逻辑来关联用户和会话，
        # 例如在用户登录时将session_key存储在用户模型中，或者通过解析session_data

        # 简单示例：查找并删除所有已过期或匹配用户ID的会话（如果你的session_data中包含用户ID）
        # 更健壮的方法是，在用户登录时将session_key存储在CustomUser模型中，
        # 然后在这里通过session_key来删除

        # 示例：遍历所有会话，尝试找出并删除属于该用户的会话
        # 这部分代码需要根据你的session存储方式和需求进行调整
        # 如果你只关心会话过期，Django的session清理命令会处理
        # 如果要强制登出，需要找到并删除特定用户的session

        # 一个更实际的方法是在用户登录时将request.session.session_key保存到User模型中
        # 然后这里通过这个key来删除

        # 假设CustomUser模型有一个字段 `active_session_key`
        if hasattr(user, 'active_session_key') and user.active_session_key:
            try:
                session = Session.objects.get(session_key=user.active_session_key)
                session.delete()
                user.active_session_key = None
                user.save(update_fields=['active_session_key'])
                print(f"Session for user {user.username} destroyed.")
            except Session.DoesNotExist:
                pass # 会话可能已经过期或被删除