从PHP password_hash()迁移到Django：旧密码的平滑过渡策略

from django.contrib.auth.models import User

# 方式一：直接赋值
# usertest = User(username='testguy', email='test@example.com', password='$2y$10$ZnxKDPbqOfACnGmQeN76o.UtdwWBFBCCLTiGnvCSvl/zqIBeVxhai')
# usertest.save() # 这会导致密码字段为空或格式错误

# 方式二：使用 create_user
# User.objects.create_user(username='testguy', email='test@example.com', password='$2y$10$ZnxKDPbqOfACnGmQeN76o.UtdwWBFBCCLTiGnvCSvl/zqIBeVxhai')
# 这种方式会将整个哈希字符串作为明文密码再次哈希，导致实际存储的密码并非预期的PHP哈希，用户也无法登录。

# users/models.py
from django.contrib.auth.models import AbstractUser
from django.db import models

class CustomUser(AbstractUser):
    # 添加一个字段用于存储旧的PHP密码哈希
    old_password = models.CharField(max_length=255, blank=True, null=True)

    # 可以添加其他自定义字段
    # 例如：some_other_field = models.CharField(max_length=100)

    def __str__(self):
        return self.username

# settings.py
AUTH_USER_MODEL = 'users.CustomUser'

python manage.py makemigrations users
python manage.py migrate

# 假设你有一个从PHP数据库导出的用户列表
import_data = [
    {'username': 'testguy', 'email': 'test@example.com', 'php_password_hash': '$2y$10$ZnxKDPbqOfACnGmQeN76o.UtdwWBFBCCLTiGnvCSvl/zqIBeVxhai'},
    # ... 更多用户数据
]

from users.models import CustomUser

for user_data in import_data:
    user, created = CustomUser.objects.get_or_create(
        username=user_data['username'],
        defaults={
            'email': user_data['email'],
            # 将PHP哈希存储到 old_password 字段
            'old_password': user_data['php_password_hash'],
            # 默认的 password 字段可以留空，或者设置为一个无法使用的值
            # Django 会在用户首次登录时自动设置新的 password
        }
    )
    if not created:
        # 如果用户已存在，更新 old_password 和 email
        user.email = user_data['email']
        user.old_password = user_data['php_password_hash']
        user.save()

print("用户数据导入完成，旧密码已存储到 old_password 字段。")

pip install bcrypt

# users/backends.py
from django.contrib.auth.backends import ModelBackend
from django.contrib.auth import get_user_model
import bcrypt

class PHPPasswordAuthBackend(ModelBackend):
    def authenticate(self, request, username=None, password=None, **kwargs):
        User = get_user_model()
        try:
            user = User.objects.get(username=username)
        except User.DoesNotExist:
            return None

        # 尝试使用Django内置的密码检查机制
        # 如果用户之前已经登录并更新了密码，这里会成功
        if user.check_password(password):
            return user
        else:
            # 如果Django密码检查失败，检查是否存在旧的PHP密码
            if user.old_password and user.old_password.startswith('$2y$'):
                try:
                    # bcrypt.checkpw 期望字节串
                    # 将明文密码和存储的旧哈希转换为字节串进行比较
                    if bcrypt.checkpw(password.encode('utf-8'), user.old_password.encode('utf-8')):
                        # 旧密码验证成功！
                        # 更新用户的密码为Django兼容的格式，并清除 old_password 字段
                        user.set_password(password) # 使用Django的哈希器重新哈希新密码
                        user.old_password = None # 清除旧密码字段
                        user.save()
                        return user
                except ValueError:
                    # bcrypt.checkpw 可能因为哈希格式问题抛出 ValueError
                    # 记录错误或忽略，继续返回 None
                    pass
            return None # 密码不匹配，或者没有旧密码，或者旧密码验证失败

    def get_user(self, user_id):
        User = get_user_model()
        try:
            return User.objects.get(pk=user_id)
        except User.DoesNotExist:
            return None

# settings.py
AUTHENTICATION_BACKENDS = [
    'users.backends.PHPPasswordAuthBackend', # 你的自定义后端
    'django.contrib.auth.backends.ModelBackend', # Django的默认后端
]