Django inclut un système d'authentification complet et intégré (django.contrib.auth) gérant les utilisateurs, les mots de passe, les sessions/connexion et les permissions — une autre fonctionnalité « piles incluses » qui vous épargne de construire (et de vous tromper sur) cette fonctionnalité critique pour la sécurité.
from django.contrib.auth.models import User
# passwords are HASHED automatically — never store plaintext
user = User.objects.create_user(username="ann", email="[email protected]", password="secret")
user.set_password("newpassword") # always use set_password (it hashes)
user.check_password("secret") # verify a password (constant-time)
Le modèle User intégré gère automatiquement le hachage sécurisé des mots de passe (en utilisant des algorithmes forts comme PBKDF2) — vous ne stockez ni ne comparez jamais des mots de passe en clair, éliminant un risque majeur de sécurité.
from django.contrib.auth import authenticate, login, logout
def login_view(request):
user = authenticate(request, username=username, password=password) # verify credentials
if user is not None:
login(request, user) # establish a SESSION (sets request.user)
return redirect("home")
# else: invalid credentials
def logout_view(request):
logout(request) # clear the session
authenticate() vérifie les identifiants, et login() établit une session — après quoi request.user est l'utilisateur connecté à chaque requête (via le middleware d'authentification).
from django.contrib.auth.decorators import login_required
@login_required # redirect to login if not authenticated
def dashboard(request):
return render(request, "dashboard.html", {"user": request.user})
# for class-based views:
from django.contrib.auth.mixins import LoginRequiredMixin
class DashboardView(LoginRequiredMixin, ListView): ...
# checking permissions
request.user.is_authenticated # is someone logged in?
request.user.is_staff / is_superuser # role flags
request.user.has_perm("blog.add_article")# a specific permission
request.user.groups.all() # group membership (role-based access)
@permission_required("blog.add_article")
def create_article(request): ...
Django distingue l'authentification (qui vous êtes — connexion) de l'autorisation (ce que vous pouvez faire — permissions). Il fournit des permissions par modèle (ajouter/modifier/supprimer/consulter), des groupes pour l'accès basé sur les rôles, et des décorateurs/mixins pour les appliquer.
✓ Ready-made views/URLs for login, logout, password change/reset (django.contrib.auth.urls)
✓ Customizable: a CUSTOM USER MODEL (recommended from the start) to add fields,
custom backends (e.g. authenticate via email or OAuth), password validators
Le système d'authentification intégré de Django est une fonctionnalité majeure et critique pour la sécurité qui vous épargne de construire l'une des parties les plus sujette aux erreurs et dangereuses d'une application web.
Le comprendre est essentiel car presque toute application réelle a besoin de comptes utilisateur, de connexion et de contrôle d'accès — et une authentification mal réalisée crée de graves vulnérabilités de sécurité (mots de passe en clair, hachage faible, flaws de session).
Le système de Django gère ces éléments correctement dès le départ : il hache les mots de passe de manière sécurisée (algorithmes forts, jamais en clair — vous utilisez create_user/set_password/check_password plutôt que de gérer les mots de passe manuellement), gère les sessions et la connexion (authenticate/login, avec request.user disponible partout via le middleware), et fournit l'autorisation via un système complet de permissions et de groupes.
Savoir créer et authentifier des utilisateurs, protéger les vues (@login_required, LoginRequiredMixin), et appliquer l'autorisation via les permissions et les groupes (en distinguant l'authentification — qui vous êtes — de l'autorisation — ce que vous êtes autorisé à faire) est fondamental pour construire des applications sécurisées.
L'extensibilité du système — en particulier l'utilisation d'un modèle utilisateur personnalisé (fortement recommandé dès le début du projet) pour ajouter des champs, et de backends personnalisés pour la connexion par email/OAuth — est une connaissance pratique importante.
Parce que l'authentification est à la fois omniprésente et critique pour la sécurité, et parce que Django fournit une solution robuste, correcte et piles incluses, maîtriser son système d'authentification est une connaissance fondamentale qui vous permet de construire des applications sécurisées orientées utilisateur sans réinventer (et risquer) cette fonctionnalité centrale.