如何在Python Django中自定义中间件来记录接口审计日志？-Python教程-PHP中文网

django中间件需在process_request缓存path、method等字段并绑定request_id，在process_response拼装日志，配合异步写入、路径过滤和敏感字段脱敏实现安全可追溯的审计日志。

如何在python django中自定义中间件来记录接口审计日志？

中间件里怎么拿到请求和响应的完整信息

Django中间件的 process_request 和 process_response 方法是记录审计日志的关键入口，但直接在两者中分别取数据会丢内容：比如 process_request 拿不到响应状态码，process_response 拿不到原始请求体（尤其是 POST/PUT 的 request.body 已被读取过一次）。正确做法是在 process_request 中提前缓存关键字段，并在 process_response 中拼装日志。

需要缓存的最少字段包括：request.path、request.method、request.GET.dict()、request.META.get("HTTP_USER_AGENT")、request.META.get("REMOTE_ADDR")。如果要记录请求体，得用 request.body 并注意它是一次性流，需在第一次读取后重新封装回 request._body（否则后续视图拿不到）。

避免在 process_request 里调用 request.POST 或 request.data（DRF），这会触发 body 解析并消耗流
对 JSON 请求，建议只记录 request.body[:2048] 截断，防止大文件拖慢日志写入
不要在中间件里做耗时操作（如写数据库），应交由异步任务或日志系统缓冲

如何避免审计日志污染正常业务逻辑

审计日志中间件必须可配置、可开关、可过滤路径。硬编码记录所有接口会导致性能下降，也容易误录健康检查、静态资源、管理后台等非业务请求。

推荐用白名单 + 正则匹配控制范围，例如只记录 /api/ 开头且不包含 /health/ 或 /static/ 的请求：

提示词大师-python版

图片提示词生成器？不止如此。马甲系统 —— 把脑海中的画面，翻译成AI能理解的专业表达。用得越多，它越懂你：首次需要多问几句确认方向，用久了几乎一说就懂。用得越多，它越快：缓存机制让后续对话越来越省。 RAG进化：成功案例持续入库，越跑越聪明。输入「新手指南」查看完整功能介绍

下载

EXCLUDE_PATHS = [
    r"^/health/",
    r"^/static/",
    r"^/admin/",
]
AUDIT_PATH_PATTERN = r"^/api/"

把配置项统一放在 settings.py 中，如 AUDIT_LOG_ENABLED、AUDIT_LOG_EXCLUDE_PATHS
在中间件 __init__ 阶段预编译正则，别在每次请求里重复 re.compile
对 DRF 视图，可通过 request.resolver_match.view_name 进一步判断是否属于 APIView 子类

为什么不能直接用 logging.info 记日志

用 logging.info 打印审计日志看似简单，但实际会带来两个问题：一是日志格式无法统一携带用户 ID、请求 ID、耗时等上下文；二是不同请求的日志行可能交错（尤其并发高时），导致单次请求日志碎片化。

正确方式是使用 django.utils.log.AdminEmailHandler 或自定义 Handler，但更轻量的做法是用结构化日志库（如 structlog）+ 请求 ID 绑定：

import structlog
logger = structlog.get_logger()
<h1>在 process_request 中注入 request_id</h1><p>request_id = request.META.get("HTTP_X_REQUEST_ID") or str(uuid.uuid4())
structlog.contextvars.bind_contextvars(request_id=request_id)
</p>

务必在 process_request 就绑定 request_id，否则 process_response 里无法关联
避免在日志里打印敏感字段（如 password、token），可用正则在写入前脱敏
日志级别建议用 info，别用 warning 或 error，否则会被监控系统误报

部署后发现日志没写入或漏记录怎么办

最常见原因是中间件顺序错误。Django 中间件按 MIDDLEWARE 列表从上到下执行，审计中间件必须放在身份认证（SessionMiddleware、AuthenticationMiddleware）之后，才能拿到 request.user；但又要放在压缩、GZIP 类中间件之前，否则响应体已被修改。

标准位置建议：在 AuthenticationMiddleware 之后、CommonMiddleware 之前
检查 process_exception 是否被实现——如果没处理异常，500 错误将不会进入 process_response，导致日志缺失
本地调试时可在中间件里加 print(f"AUDIT: {request.path} → {response.status_code}") 快速验证是否触发

真正难排查的是流式响应（如 StreamingHttpResponse）和重定向（302）——它们的 response.content 是空的，得靠 response.status_code 和 response.get("Location") 推断行为。这类边界情况往往被忽略，直到线上出问题才暴露。

Python免费学习笔记（深入）：立即使用
在学习笔记中，你将探索 Python 的核心概念和高级技巧！