Django incluye un sistema de autenticación completo e integrado (django.contrib.auth) que maneja usuarios, contraseñas, sesiones/login y permisos — otra característica "batteries-included" que te evita construir (e implementar mal) esta funcionalidad crítica de seguridad.
django.contrib.auth.models User
user = User.objects.create_user(username=, email=, password=)
user.set_password()
user.check_password()
El modelo User integrado maneja el hash de contraseñas de forma segura automáticamente (usando algoritmos fuertes como PBKDF2) — nunca almacenas ni comparas contraseñas en texto plano, eliminando un riesgo de seguridad importante.
from django.contrib.auth import authenticate, login, logout
def login_view(request):
user = authenticate(request, username=username, password=password) # verify credentials
if user is not None:
login(request, user) # establish a SESSION (sets request.user)
return redirect("home")
# else: invalid credentials
def logout_view(request):
logout(request) # clear the session
authenticate() verifica las credenciales, y login() establece una sesión — después de lo cual request.user es el usuario autenticado en cada solicitud (a través del middleware de autenticación).
from django.contrib.auth.decorators import login_required
@login_required # redirect to login if not authenticated
def dashboard(request):
return render(request, "dashboard.html", {"user": request.user})
# for class-based views:
from django.contrib.auth.mixins import LoginRequiredMixin
class DashboardView(LoginRequiredMixin, ListView): ...
# checking permissions
request.user.is_authenticated # is someone logged in?
request.user.is_staff / is_superuser # role flags
request.user.has_perm("blog.add_article")# a specific permission
request.user.groups.all() # group membership (role-based access)
@permission_required("blog.add_article")
def create_article(request): ...
Django distingue autenticación (quién eres — login) de autorización (qué puedes hacer — permisos). Proporciona permisos por modelo (add/change/delete/view), grupos para acceso basado en roles, y decoradores/mixins para aplicarlos.
✓ Ready-made views/URLs for login, logout, password change/reset (django.contrib.auth.urls)
✓ Customizable: a CUSTOM USER MODEL (recommended from the start) to add fields,
custom backends (e.g. authenticate via email or OAuth), password validators
El sistema de autenticación integrado de Django es una característica importante y crítica de seguridad que te evita construir una de las partes más propensas a errores y peligrosas de una aplicación web. /**Entenderlo es esencial porque casi toda aplicación real necesita cuentas de usuario, login y control de acceso — y obtener autenticación mal crea vulnerabilidades de seguridad graves (contraseñas en texto plano, hash débil, defectos de sesión).
El sistema de Django maneja esto correctamente desde el principio: hashea contraseñas de forma segura (algoritmos fuertes, nunca texto plano — usas create_user/set_password/check_password en lugar de manejar contraseñas manualmente), gestiona sesiones y login (authenticate/login, con request.user disponible en todas partes mediante middleware), y proporciona autorización a través de un completo sistema de permisos y grupos.
Saber cómo crear y autenticar usuarios, proteger vistas (@login_required, LoginRequiredMixin), y aplicar autorización mediante permisos y grupos (distinguiendo autenticación — quién eres — de autorización — qué se te permite hacer) es fundamental para construir aplicaciones seguras.
La extensibilidad del sistema — especialmente usando un modelo de usuario personalizado (fuertemente recomendado desde el inicio del proyecto) para agregar campos, y backends personalizados para login por email/OAuth — es conocimiento práctico importante.
Porque la autenticación es tanto ubicua como crítica de seguridad, y porque Django proporciona una solución robusta, correcta y batteries-included, dominar su sistema de auth es conocimiento central que te permite construir aplicaciones seguras orientadas al usuario sin reinventar (y arriesgar) esta funcionalidad fundamental.