Το Django περιλαμβάνει ένα ολοκληρωμένο, ενσωματωμένο σύστημα ταυτοποίησης (django.contrib.auth) που χειρίζεται χρήστες, κωδικούς πρόσβασης, συνόδους/σύνδεση και δικαιώματα — ένα άλλο χαρακτηριστικό "μπαταρίες περιλαμβάνονται" που σας σώζει από την κατασκευή (και την εσφαλμένη υλοποίηση) αυτής της λειτουργικότητας που είναι κρίσιμη για την ασφάλεια.
from django.contrib.auth.models import User
# passwords are HASHED automatically — never store plaintext
user = User.objects.create_user(username="ann", email="[email protected]", password="secret")
user.set_password("newpassword") # always use set_password (it hashes)
user.check_password("secret") # verify a password (constant-time)
Το ενσωματωμένο μοντέλο User χειρίζεται το ασφαλές hashing κωδικών πρόσβασης αυτόματα (χρησιμοποιώντας ισχυρούς αλγορίθμους όπως PBKDF2) — δεν αποθηκεύετε ποτέ ή συγκρίνετε κωδικούς πρόσβασης σε plaintext, εξαλείφοντας έναν σημαντικό κίνδυνο ασφάλειας.
from django.contrib.auth import authenticate, login, logout
def login_view(request):
user = authenticate(request, username=username, password=password) # verify credentials
if user is not None:
login(request, user) # establish a SESSION (sets request.user)
return redirect("home")
# else: invalid credentials
def logout_view(request):
logout(request) # clear the session
Η authenticate() επαληθεύει τα διαπιστευτήρια και η login() δημιουργεί μια συνόδο — μετά από την οποία το request.user είναι ο συνδεδεμένος χρήστης σε κάθε αίτημα (μέσω του middleware ταυτοποίησης).
from django.contrib.auth.decorators import login_required
@login_required # redirect to login if not authenticated
def dashboard(request):
return render(request, "dashboard.html", {"user": request.user})
# for class-based views:
from django.contrib.auth.mixins import LoginRequiredMixin
class DashboardView(LoginRequiredMixin, ListView): ...
# checking permissions
request.user.is_authenticated # is someone logged in?
request.user.is_staff / is_superuser # role flags
request.user.has_perm("blog.add_article")# a specific permission
request.user.groups.all() # group membership (role-based access)
@permission_required("blog.add_article")
def create_article(request): ...
Το Django διακρίνει την ταυτοποίηση (ποιος είστε — σύνδεση) από την εξουσιοδότηση (τι μπορείτε να κάνετε — δικαιώματα). Παρέχει ανά-μοντέλο δικαιώματα (add/change/delete/view), ομάδες για ρόλο-βασισμένη πρόσβαση και decorators/mixins για την επιβολή τους.
✓ Ready-made views/URLs for login, logout, password change/reset (django.contrib.auth.urls)
✓ Customizable: a CUSTOM USER MODEL (recommended from the start) to add fields,
custom backends (e.g. authenticate via email or OAuth), password validators
Το ενσωματωμένο σύστημα ταυτοποίησης του Django είναι ένα σημαντικό, κρίσιμο για την ασφάλεια χαρακτηριστικό που σας σώζει από την κατασκευή ενός από τα πιο ευπρόσβλητα και επικίνδυνα μέρη μιας εφαρμογής ιστού.
Η κατανόησή του είναι απαραίτητη επειδή σχεδόν κάθε πραγματική εφαρμογή χρειάζεται λογαριασμούς χρήστη, σύνδεση και έλεγχο πρόσβασης — και η εσφαλμένη ταυτοποίηση δημιουργεί σοβαρές ευπάθειες ασφάλειας (κωδικοί plaintext, ασθενές hashing, ελαττώματα συνόδου).
Το σύστημα του Django χειρίζεται αυτά σωστά εκ των προτέρων: κωδικοποιεί κωδικούς πρόσβασης ασφαλώς (ισχυροί αλγόριθμοι, ποτέ plaintext — χρησιμοποιείτε create_user/set_password/check_password παρά να χειρίζεστε κωδικούς πρόσβασης χειροκίνητα), διαχειρίζεται συνόδους και σύνδεση (authenticate/login, με request.user διαθέσιμο παντού μέσω middleware) και παρέχει εξουσιοδότηση μέσω ενός ολοκληρωμένου συστήματος δικαιωμάτων και ομάδων.
Η γνώση του πώς να δημιουργείτε και να ταυτοποιείτε χρήστες, να προστατεύετε views (@login_required, LoginRequiredMixin) και να επιβάλλετε εξουσιοδότηση μέσω δικαιωμάτων και ομάδων (διάκριση ταυτοποίησης — ποιος είστε — από εξουσιοδότηση — τι είστε επιτρεπόμενο να κάνετε) είναι θεμελιώδης για την κατασκευή ασφαλών εφαρμογών.
Η επεκτασιμότητα του συστήματος — ιδιαίτερα χρησιμοποιώντας ένα custom user model (ισχυρά συνιστάται από την αρχή του έργου) για προσθήκη πεδίων και custom backends για email/OAuth σύνδεση — είναι σημαντική πρακτική γνώση.
Επειδή η ταυτοποίηση είναι τόσο παρούσα όσο και κρίσιμη για την ασφάλεια, και επειδή το Django παρέχει μια ισχυρή, σωστή, "μπαταρίες περιλαμβάνονται" λύση, η κατάκτηση του auth system είναι θεμελιώδης γνώση που σας επιτρέπει να κατασκευάσετε ασφαλείς εφαρμογές αντιμέτωπες με χρήστες χωρίς να ανακατασκευάζετε (και κινδυνεύετε) αυτή τη θεμελιώδη λειτουργικότητα.