Django sisältää valmiin, täydellisen todentamisjärjestelmän (django.contrib.auth), joka käsittelee käyttäjät, salasanat, istunnot/kirjautumisen ja oikeudet — toinen "kaikki mukana" -ominaisuus, joka säästää sinut rakentamasta (ja vääriin päätelmiin johtavasta) tästä turvallisuuskritiikin funktionaalisuudesta.
from django.contrib.auth.models import User
# passwords are HASHED automatically — never store plaintext
user = User.objects.create_user(username="ann", email="[email protected]", password="secret")
user.set_password("newpassword") # always use set_password (it hashes)
user.check_password("secret") # verify a password (constant-time)
Valmis User-malli käsittelee salasanan tiivistämisen automaattisesti (käyttäen vahvoja algoritmeja kuten PBKDF2) — et koskaan tallenna tai vertaa pelkkiä tekstitiedostoja sisältäviä salasanoja, mikä eliminoi suuren turvallisuusriskin.
from django.contrib.auth import authenticate, login, logout
def login_view(request):
user = authenticate(request, username=username, password=password) # verify credentials
if user is not None:
login(request, user) # establish a SESSION (sets request.user)
return redirect("home")
# else: invalid credentials
def logout_view(request):
logout(request) # clear the session
authenticate() vahvistaa tunnistetiedot ja login() muodostaa istunnon — jonka jälkeen request.user on kirjautunut käyttäjä jokaisessa pyynnössä (todentamisen middleware-välineistön kautta).
from django.contrib.auth.decorators import login_required
@login_required # redirect to login if not authenticated
def dashboard(request):
return render(request, "dashboard.html", {"user": request.user})
# for class-based views:
from django.contrib.auth.mixins import LoginRequiredMixin
class DashboardView(LoginRequiredMixin, ListView): ...
# checking permissions
request.user.is_authenticated # is someone logged in?
request.user.is_staff / is_superuser # role flags
request.user.has_perm("blog.add_article")# a specific permission
request.user.groups.all() # group membership (role-based access)
@permission_required("blog.add_article")
def create_article(request): ...
Django erottaa todentamisen (kuka olet — kirjautuminen) valtuutuksesta (mitä voit tehdä — oikeudet). Se tarjoaa mallien mukaiset oikeudet (lisää/muuta/poista/näytä), roolipohjaisen pääsyn ryhmiä, ja koristajia/mixineja niiden pakottamiseksi.
✓ Ready-made views/URLs for login, logout, password change/reset (django.contrib.auth.urls)
✓ Customizable: a CUSTOM USER MODEL (recommended from the start) to add fields,
custom backends (e.g. authenticate via email or OAuth), password validators
Djangon valmis todentamisjärjestelmä on pääominaisuus, joka on turvallisuuskriittinen ja säästää sinut rakentamasta yhtä virhe-altteimmista ja vaarallisimmista osista verkkosovelluksesta.
Ymmärrys siitä on olennaista, koska lähes jokainen todellinen sovellus tarvitsee käyttäjätilejä, kirjautumista ja pääsynvalvontaa — ja väärä todentaminen luo vakavia turvallisuusriskejä (pelkkiin teksteihin perustuvat salasanat, heikko tiivistäminen, istuntoon liittyvät puutteet).
Djangon järjestelmä käsittelee nämä oikein heti alkuun: se tiivistää salasanat turvallisesti (vahvat algoritmit, ei pelkkiä tekstitiedostoja — käytät create_user/set_password/check_password manuaalisen salasanojen käsittelyn sijaan), hallinnoi istuntoja ja kirjautumista (authenticate/login, request.user saatavilla kaikkialla middleware-välineistön kautta), ja tarjoaa valtuutusta täydellisen oikeuksien ja ryhmien järjestelmän kautta.
Osaaminen käyttäjien luomisesta ja todentamisesta, näkymien suojaamisesta (@login_required, LoginRequiredMixin) ja valtuutuksen pakottamisesta oikeuksien ja ryhmien kautta (erotus todentamisen — kuka olet — ja valtuutuksen — mitä sinulla on lupa tehdä) on perustavanlaatuista turvallisten sovellusten rakentamisessa.
Järjestelmän laajennettavuus — erityisesti mukautetun käyttäjämallin käyttö (suositellaan vahvasti projektin alusta alkaen) kenttien lisäämiseksi ja mukautettuja taustajärjestelmiä sähköposti-/OAuth-kirjautumiselle — on tärkeää käytännön tietoa.
Koska todentaminen on sekä kaikkialla esiintyvää että turvallisuuskritiikin, ja koska Django tarjoaa vankan, oikean, kaikki mukana -ratkaisun, sen auth-järjestelmän hallitseminen on perusosaamista, jonka avulla voit rakentaa turvallisia käyttäjille suunnattuja sovelluksia ilman tämän perustavanlaatuisen toiminnon uudelleen keksimisen (ja riskien) riskiä.