Django beinhaltet ein vollständiges, integriertes Authentifizierungssystem (django.contrib.auth), das Benutzer, Passwörter, Sitzungen/Login und Berechtigungen verwaltet — eine weitere "Batteries-included"-Funktion, die dich davor bewahrt, diese sicherheitskritische Funktionalität selbst zu bauen (und dabei falsch zu machen).
from django.contrib.auth.models import User
# passwords are HASHED automatically — never store plaintext
user = User.objects.create_user(username="ann", email="[email protected]", password="secret")
user.set_password("newpassword") # always use set_password (it hashes)
user.check_password("secret") # verify a password (constant-time)
Das integrierte User-Modell übernimmt das sichere Password-Hashing automatisch (mit starken Algorithmen wie PBKDF2) — du speicherst oder vergleichst niemals Passwörter im Klartext, was ein großes Sicherheitsrisiko beseitigt.
from django.contrib.auth import authenticate, login, logout
def login_view(request):
user = authenticate(request, username=username, password=password) # verify credentials
if user is not None:
login(request, user) # establish a SESSION (sets request.user)
return redirect("home")
# else: invalid credentials
def logout_view(request):
logout(request) # clear the session
authenticate() verifiziert Anmeldedaten, und login() stellt eine Sitzung her — danach ist request.user bei jeder Anfrage der angemeldete Benutzer (über die Authentifizierungs-Middleware).
from django.contrib.auth.decorators import login_required
@login_required # redirect to login if not authenticated
def dashboard(request):
return render(request, "dashboard.html", {"user": request.user})
# for class-based views:
from django.contrib.auth.mixins import LoginRequiredMixin
class DashboardView(LoginRequiredMixin, ListView): ...
# checking permissions
request.user.is_authenticated # is someone logged in?
request.user.is_staff / is_superuser # role flags
request.user.has_perm("blog.add_article")# a specific permission
request.user.groups.all() # group membership (role-based access)
@permission_required("blog.add_article")
def create_article(request): ...
Django unterscheidet Authentifizierung (wer du bist — Login) von Autorisierung (was du tun kannst — Berechtigungen). Es bietet modellspezifische Berechtigungen (add/change/delete/view), Gruppen für rollenbasierte Zugriffe und Decorators/Mixins zu deren Durchsetzung.
✓ Ready-made views/URLs for login, logout, password change/reset (django.contrib.auth.urls)
✓ Customizable: a CUSTOM USER MODEL (recommended from the start) to add fields,
custom backends (e.g. authenticate via email or OAuth), password validators
Djangos integriertes Authentifizierungssystem ist eine große, sicherheitskritische Funktion, die dich davor bewahrt, einen der fehleranfälligsten und gefährlichsten Teile einer Webanwendung selbst zu bauen.
Das Verständnis ist wesentlich, da fast jede echte Anwendung Benutzerkonten, Login und Zugriffskontrolle benötigt — und falsche Authentifizierung erzeugt schwerwiegende Sicherheitslücken (Passwörter im Klartext, schwaches Hashing, Session-Fehler).
Djangos System handhabt diese Dinge bereits korrekt ab: Es hasht Passwörter sicher (starke Algorithmen, niemals Klartext — du verwendest create_user/set_password/check_password statt Passwörter manuell zu handhaben), verwaltet Sitzungen und Login (authenticate/login, mit request.user überall verfügbar über Middleware) und bietet Autorisierung durch ein vollständiges Berechtigungs- und Gruppensystem.
Zu wissen, wie man Benutzer erstellt und authentifiziert, Views schützt (@login_required, LoginRequiredMixin) und Autorisierung über Berechtigungen und Gruppen durchsetzt (wobei man Authentifizierung — wer du bist — von Autorisierung — was du tun darfst — unterscheidet), ist grundlegend für das Bauen sicherer Anwendungen.
Die Erweiterbarkeit des Systems — besonders die Verwendung eines benutzerdefinierten User-Modells (ab Projektstart dringend empfohlen) zum Hinzufügen von Feldern und benutzerdefinierten Backends für Email/OAuth-Login — ist wichtiges praktisches Wissen.
Weil Authentifizierung sowohl allgegenwärtig als auch sicherheitskritisch ist, und weil Django eine robuste, korrekte, Batteries-included-Lösung bietet, ist die Beherrschung des Auth-Systems Kernwissen, das es dir ermöglicht, sichere benutzergerichtete Anwendungen zu bauen, ohne diese grundlegende Funktionalität neu zu erfinden (und dabei zu riskieren).