Django REST Framework用户资料更新实践指南-代码聚汇网

Django REST Framework用户资料更新实践指南

李菜单

1. Django REST Framework 用户资料更新实践指南

在Web应用开发中，用户资料管理是最基础也最频繁被调用的功能之一。作为Django开发者，我们经常需要处理用户信息的创建、读取、更新和删除(CRUD)操作。而Django REST Framework(DRF)为我们提供了一套优雅的解决方案，特别是在处理用户资料更新这种看似简单实则暗藏玄机的功能时。

我经历过多个Django项目的实战，发现用户资料更新这个功能至少有3个关键点需要特别注意：字段验证的完备性、更新逻辑的安全性、以及API设计的规范性。很多新手开发者容易在这些地方踩坑，比如没有对敏感字段做特殊处理，或者忽略了并发更新可能导致的数据覆盖问题。

本文将带你从零开始，完整实现一个符合生产环境要求的用户资料更新功能。我们会覆盖从模型设计到视图逻辑，从权限控制到测试验证的全流程。特别地，我会分享一些在真实项目中积累的经验教训，比如如何处理密码更新这种特殊字段，以及如何设计既安全又友好的API响应。

2. 项目环境准备与基础配置

2.1 创建Django项目与应用

首先确保你已经安装了Python 3.6+和Django 3.0+。我推荐使用虚拟环境来管理项目依赖：

bash复制python -m venv venv
source venv/bin/activate  # Linux/Mac
venv\Scripts\activate  # Windows
pip install django djangorestframework

创建一个新的Django项目和应用：

bash复制django-admin startproject userprofile
cd userprofile
python manage.py startapp accounts

在settings.py中添加必要的配置：

python复制INSTALLED_APPS = [
    ...
    'rest_framework',
    'accounts',
]

AUTH_USER_MODEL = 'accounts.CustomUser'  # 我们将使用自定义用户模型

2.2 自定义用户模型设计

永远不要直接使用Django的默认User模型！这是我在多个项目中学到的血泪教训。创建一个扩展的CustomUser模型：

python复制# accounts/models.py
from django.contrib.auth.models import AbstractUser
from django.db import models

class CustomUser(AbstractUser):
    phone = models.CharField(max_length=20, blank=True, null=True)
    avatar = models.ImageField(upload_to='avatars/', blank=True, null=True)
    bio = models.TextField(blank=True, null=True)
    
    # 添加其他自定义字段
    date_of_birth = models.DateField(blank=True, null=True)
    website = models.URLField(blank=True, null=True)
    
    class Meta:
        verbose_name = 'User'
        verbose_name_plural = 'Users'

    def __str__(self):
        return self.username

记得在首次迁移前创建这个模型，否则后期切换会非常麻烦：

bash复制python manage.py makemigrations
python manage.py migrate

3. 序列化器设计与字段验证

3.1 基础用户资料序列化器

创建serializers.py文件，设计我们的用户序列化器：

python复制# accounts/serializers.py
from rest_framework import serializers
from django.contrib.auth import get_user_model
from django.core.exceptions import ValidationError
import re

User = get_user_model()

class UserProfileSerializer(serializers.ModelSerializer):
    class Meta:
        model = User
        fields = [
            'id', 'username', 'email', 
            'first_name', 'last_name',
            'phone', 'avatar', 'bio',
            'date_of_birth', 'website'
        ]
        extra_kwargs = {
            'username': {'read_only': True},
            'email': {'required': False}
        }

3.2 自定义字段验证

对于敏感字段如手机号，我们需要添加额外的验证：

python复制def validate_phone(self, value):
    if value and not re.match(r'^\+?1?\d{9,15}$', value):
        raise serializers.ValidationError("Phone number must be entered in the format: '+999999999'. Up to 15 digits allowed.")
    return value

def validate_email(self, value):
    if User.objects.filter(email=value).exclude(id=self.instance.id).exists():
        raise serializers.ValidationError("This email is already in use.")
    return value

3.3 处理密码更新的特殊序列化器

密码更新需要单独处理，因为它涉及加密和安全问题：

python复制class PasswordUpdateSerializer(serializers.Serializer):
    old_password = serializers.CharField(required=True, write_only=True)
    new_password = serializers.CharField(required=True, write_only=True, min_length=8)
    
    def validate_old_password(self, value):
        user = self.context['request'].user
        if not user.check_password(value):
            raise serializers.ValidationError("Old password is incorrect")
        return value
    
    def save(self, **kwargs):
        user = self.context['request'].user
        user.set_password(self.validated_data['new_password'])
        user.save()
        return user

4. 视图层实现与权限控制

4.1 用户资料视图

python复制# accounts/views.py
from rest_framework import generics, permissions, status
from rest_framework.response import Response
from .serializers import UserProfileSerializer, PasswordUpdateSerializer
from django.contrib.auth import get_user_model

User = get_user_model()

class UserProfileView(generics.RetrieveUpdateAPIView):
    serializer_class = UserProfileSerializer
    permission_classes = [permissions.IsAuthenticated]
    
    def get_object(self):
        return self.request.user
    
    def perform_update(self, serializer):
        # 这里可以添加额外的更新逻辑
        instance = serializer.save()
        
        # 示例：如果头像被更新，可以在这里触发缩略图生成
        if 'avatar' in serializer.validated_data:
            self.generate_avatar_thumbnails(instance.avatar)
    
    def generate_avatar_thumbnails(self, avatar):
        # 实际项目中这里会调用信号或Celery任务生成缩略图
        pass

4.2 密码更新视图

python复制class PasswordUpdateView(generics.GenericAPIView):
    serializer_class = PasswordUpdateSerializer
    permission_classes = [permissions.IsAuthenticated]
    
    def post(self, request, *args, **kwargs):
        serializer = self.get_serializer(data=request.data)
        serializer.is_valid(raise_exception=True)
        serializer.save()
        return Response(
            {"detail": "Password updated successfully"}, 
            status=status.HTTP_200_OK
        )

4.3 路由配置

python复制# accounts/urls.py
from django.urls import path
from .views import UserProfileView, PasswordUpdateView

urlpatterns = [
    path('profile/', UserProfileView.as_view(), name='user-profile'),
    path('profile/password/', PasswordUpdateView.as_view(), name='password-update'),
]

然后在项目的主urls.py中包含这些路由：

python复制# userprofile/urls.py
from django.contrib import admin
from django.urls import path, include

urlpatterns = [
    path('admin/', admin.site.urls),
    path('api/auth/', include('accounts.urls')),
]

5. 高级功能与优化

5.1 部分更新(PATCH)支持

DRF默认支持部分更新，但我们需要确保我们的序列化器正确处理部分更新：

python复制class UserProfileView(generics.RetrieveUpdateAPIView):
    # ... 其他代码不变 ...
    
    def patch(self, request, *args, **kwargs):
        # 我们可以在这里添加特定的PATCH处理逻辑
        return self.partial_update(request, *args, **kwargs)

5.2 并发更新控制

为了防止并发更新导致的数据覆盖，我们可以添加乐观锁：

python复制class UserProfileSerializer(serializers.ModelSerializer):
    version = serializers.IntegerField(read_only=True)
    
    class Meta:
        model = User
        fields = [..., 'version']
        
    def validate(self, data):
        if self.instance and 'version' in self.initial_data:
            if self.instance.version != int(self.initial_data['version']):
                raise serializers.ValidationError("The record has been modified by another user.")
        return data
    
    def update(self, instance, validated_data):
        instance.version += 1
        return super().update(instance, validated_data)

记得在模型中添加version字段：

python复制class CustomUser(AbstractUser):
    version = models.IntegerField(default=0)
    # ... 其他字段 ...

5.3 文件上传处理

对于头像上传，我们需要做一些优化：

限制文件大小
验证文件类型
自动调整图片尺寸

更新序列化器：

python复制class UserProfileSerializer(serializers.ModelSerializer):
    # ... 其他代码 ...
    
    def validate_avatar(self, value):
        # 限制文件大小 (2MB)
        max_size = 2 * 1024 * 1024
        if value.size > max_size:
            raise serializers.ValidationError(f"File too large. Size should not exceed {max_size/1024/1024}MB.")
        
        # 验证文件类型
        valid_extensions = ['.jpg', '.jpeg', '.png', '.gif']
        ext = os.path.splitext(value.name)[1].lower()
        if ext not in valid_extensions:
            raise serializers.ValidationError(f"Unsupported file extension. Supported extensions are: {', '.join(valid_extensions)}")
        
        return value

6. 测试与验证

6.1 单元测试

python复制# accounts/tests.py
from django.contrib.auth import get_user_model
from django.urls import reverse
from rest_framework import status
from rest_framework.test import APITestCase
from PIL import Image
import tempfile
import os

User = get_user_model()

class UserProfileTests(APITestCase):
    def setUp(self):
        self.user = User.objects.create_user(
            username='testuser',
            email='test@example.com',
            password='testpass123'
        )
        self.client.force_authenticate(user=self.user)
    
    def test_retrieve_profile(self):
        url = reverse('user-profile')
        response = self.client.get(url)
        self.assertEqual(response.status_code, status.HTTP_200_OK)
        self.assertEqual(response.data['username'], 'testuser')
    
    def test_update_profile(self):
        url = reverse('user-profile')
        data = {'first_name': 'John', 'last_name': 'Doe'}
        response = self.client.patch(url, data)
        self.assertEqual(response.status_code, status.HTTP_200_OK)
        self.user.refresh_from_db()
        self.assertEqual(self.user.first_name, 'John')
    
    def test_password_update(self):
        url = reverse('password-update')
        data = {
            'old_password': 'testpass123',
            'new_password': 'newpass123'
        }
        response = self.client.post(url, data)
        self.assertEqual(response.status_code, status.HTTP_200_OK)
        self.assertTrue(User.objects.get(username='testuser').check_password('newpass123'))
    
    def test_avatar_upload(self):
        url = reverse('user-profile')
        
        # 创建一个临时图片文件
        image = Image.new('RGB', (100, 100))
        tmp_file = tempfile.NamedTemporaryFile(suffix='.jpg')
        image.save(tmp_file)
        tmp_file.seek(0)
        
        data = {'avatar': tmp_file}
        response = self.client.patch(url, data, format='multipart')
        self.assertEqual(response.status_code, status.HTTP_200_OK)
        self.assertTrue(os.path.exists(self.user.avatar.path))
        
        tmp_file.close()

6.2 使用Postman测试API

获取用户资料：
- 方法：GET
- URL：/api/auth/profile/
- 头部：Authorization: Token <your_token>
更新用户资料：
- 方法：PATCH
- URL：/api/auth/profile/
- 头部：同上
- 正文：
更新密码：
- 方法：POST
- URL：/api/auth/profile/password/
- 头部：同上
- 正文：

7. 生产环境注意事项

7.1 安全性增强

始终使用HTTPS
添加速率限制防止暴力破解
实现密码强度检查
记录敏感操作日志

python复制# settings.py
REST_FRAMEWORK = {
    'DEFAULT_THROTTLE_CLASSES': [
        'rest_framework.throttling.AnonRateThrottle',
        'rest_framework.throttling.UserRateThrottle'
    ],
    'DEFAULT_THROTTLE_RATES': {
        'anon': '100/day',
        'user': '1000/day'
    }
}

7.2 性能优化

使用select_related/prefetch_related优化查询
对频繁访问的API添加缓存
对大文件使用CDN

python复制class UserProfileView(generics.RetrieveUpdateAPIView):
    queryset = User.objects.all().select_related('related_model')
    # ... 其他代码 ...

7.3 部署注意事项

配置正确的MEDIA_ROOT和MEDIA_URL
设置适当的文件存储后端（如S3）
配置CORS头部

python复制# settings.py
MEDIA_URL = '/media/'
MEDIA_ROOT = os.path.join(BASE_DIR, 'media')

# 生产环境推荐使用S3
DEFAULT_FILE_STORAGE = 'storages.backends.s3boto3.S3Boto3Storage'
AWS_ACCESS_KEY_ID = 'your-access-key'
AWS_SECRET_ACCESS_KEY = 'your-secret-key'
AWS_STORAGE_BUCKET_NAME = 'your-bucket-name'

8. 常见问题与解决方案

8.1 头像上传问题

问题：上传头像后，图片没有正确保存或显示。

解决方案：

检查MEDIA_ROOT和MEDIA_URL配置
确保服务器对media目录有写权限
在开发环境中，需要添加静态文件服务配置：

python复制from django.conf import settings
from django.conf.urls.static import static

urlpatterns = [
    # ... 其他URL配置 ...
] + static(settings.MEDIA_URL, document_root=settings.MEDIA_ROOT)

8.2 密码更新后用户被登出

问题：更新密码后，用户会话失效。

解决方案：
更新密码后手动更新会话认证哈希：

python复制from django.contrib.auth import update_session_auth_hash

class PasswordUpdateView(generics.GenericAPIView):
    # ... 其他代码 ...
    
    def post(self, request, *args, **kwargs):
        serializer = self.get_serializer(data=request.data)
        serializer.is_valid(raise_exception=True)
        user = serializer.save()
        update_session_auth_hash(request, user)  # 保持用户登录状态
        return Response(...)

8.3 并发更新导致数据丢失

问题：多个用户同时更新同一资料，后提交的会覆盖先提交的修改。