本文介绍如何通过 django 内置设置安全地限制 admin 后台会话有效期，并在每次用户操作后自动刷新会话过期时间，兼顾安全性与用户体验。
本文介绍如何通过 django 内置设置安全地限制 admin 后台会话有效期，并在每次用户操作后自动刷新会话过期时间，兼顾安全性与用户体验。
在 Django Admin 中强化会话安全是生产环境的必备实践。默认情况下，Django 的会话可能长期有效（如依赖浏览器关闭才失效），存在被劫持或遗忘登录导致的安全风险。为此，需从两个维度控制会话生命周期：
✅ 1. 限制会话最大存活时间
通过 SESSION_COOKIE_AGE 设置会话 Cookie 的最大有效期（单位：秒）。该值决定用户无任何操作时会话自动过期的时间。例如，将 Admin 会话严格限制为 30 分钟：
# settings.py SESSION_COOKIE_AGE = 1800 # 30 分钟（推荐：避免使用过短值如 30 秒，易造成误登出）
⚠️ 注意：SESSION_COOKIE_AGE 影响整个项目会话，若仅需限制 Admin，建议配合中间件或自定义认证逻辑（见下文进阶提示）；但对多数场景，统一管理更简洁可靠。
✅ 2. 在每次请求后自动续期会话
启用 SESSION_SAVE_EVERY_REQUEST = True 后，Django 将在每个成功响应前更新会话的 expire_date 字段，使会话有效期从当前时刻重新计算。这意味着只要用户持续操作（如点击列表、保存模型、切换页面），会话就不会过期：
# settings.py SESSION_SAVE_EVERY_REQUEST = True
? 关键效果：用户活跃时，会话“永不过期”；一旦停止操作超过 SESSION_COOKIE_AGE 秒，会话立即失效并跳转至登录页——完美平衡安全性与可用性。
? 额外建议（提升 Admin 安全性）
- 结合
SESSION_EXPIRE_AT_BROWSER_CLOSE = False（默认），确保会话明确按时间控制，而非依赖浏览器行为； - 使用
django.contrib.sessions.backends.cache_db或cached_db后端，兼顾性能与可靠性； - 对高敏感 Admin，可进一步集成
django-admin-honeypot或添加登录失败锁定机制； - 若需 Admin 专属会话策略（如比前台更短的超时），可通过自定义中间件拦截
/admin/请求并动态修改request.session.set_expiry()。
✅ 总结：仅需两行配置即可显著增强 Django Admin 会话安全——SESSION_COOKIE_AGE 设定硬性上限，SESSION_SAVE_EVERY_REQUEST = True 实现智能续期。无需重写视图或引入第三方包，简洁、高效、符合 Django 最佳实践。
