Jak funguje autentizační systém v Django?

Question

Accepted Answer

Django obsahuje kompletní, vestavěný **autentizační systém** (`django.contrib.auth`) zpracovávající **uživatele**, **hesla**, **relace/přihlášení** a **oprávnění** — další funkce typu "batteries-included", která vás zbavuje implementace (a případného špatného provedení) této kritické bezpečnostní funkcionality.

## Model User a vytváření uživatelů

```python
from django.contrib.auth.models import User

# passwords are HASHED automatically — never store plaintext
user = User.objects.create_user(username="ann", email="a@x.com", password="secret")
user.set_password("newpassword")        # always use set_password (it hashes)
user.check_password("secret")            # verify a password (constant-time)
```

Vestavěný model `User` automaticky zpracovává bezpečné **hešování hesel** (pomocí silných algoritmů jako PBKDF2) — nikdy neukládáte ani neporovnáváte hesla v čitelné podobě, čímž se eliminuje závažné bezpečnostní riziko.

## Autentizace a přihlášení

```python
from django.contrib.auth import authenticate, login, logout

def login_view(request):
    user = authenticate(request, username=username, password=password)  # verify credentials
    if user is not None:
        login(request, user)             # establish a SESSION (sets request.user)
        return redirect("home")
    # else: invalid credentials

def logout_view(request):
    logout(request)                       # clear the session
```

`authenticate()` ověří přihlašovací údaje a `login()` navázane relaci — poté je `request.user` přihlášený uživatel na každém požadavku (prostřednictvím middleware autentizace).

## Ochrana views (vyžadování přihlášení)

```python
from django.contrib.auth.decorators import login_required

@login_required                          # redirect to login if not authenticated
def dashboard(request):
    return render(request, "dashboard.html", {"user": request.user})

# for class-based views:
from django.contrib.auth.mixins import LoginRequiredMixin
class DashboardView(LoginRequiredMixin, ListView): ...
```

## Oprávnění a autorizace

```python
# checking permissions
request.user.is_authenticated            # is someone logged in?
request.user.is_staff / is_superuser     # role flags
request.user.has_perm("blog.add_article")# a specific permission
request.user.groups.all()                 # group membership (role-based access)

@permission_required("blog.add_article")
def create_article(request): ...
```

Django rozlišuje **autentizaci** (kdo jste — přihlášení) od **autorizace** (co smíte dělat — oprávnění). Poskytuje oprávnění na úrovni modelu (add/change/delete/view), skupiny pro přístup na základě rolí a dekorátory/mixiny pro jejich vynucování.

## Vestavěné auth views a přizpůsobení

```text
✓ Ready-made views/URLs for login, logout, password change/reset (django.contrib.auth.urls)
✓ Customizable: a CUSTOM USER MODEL (recommended from the start) to add fields,
  custom backends (e.g. authenticate via email or OAuth), password validators
```

## Proč je to důležité

Vestavěný autentizační systém Django je hlavní, kritickou bezpečnostní funkcí, která vás chrání před implementací jedné z nejchybovějších a nejnebezpečnějších částí webové aplikace.
\