Django का authentication system कैसे काम करता है?

Question

Accepted Answer

Django में एक संपूर्ण, built-in **authentication system** (`django.contrib.auth`) शामिल है जो **users**, **passwords**, **sessions/login**, और **permissions** को संभालता है — एक और "batteries-included" विशेषता जो आपको इस security-महत्वपूर्ण कार्यक्षमता को बनाने (और गलत करने) से बचाती है।

## User model और users बनाना

```python
from django.contrib.auth.models import User

# passwords are HASHED automatically — never store plaintext
user = User.objects.create_user(username="ann", email="a@x.com", password="secret")
user.set_password("newpassword")        # always use set_password (it hashes)
user.check_password("secret")            # verify a password (constant-time)
```

built-in `User` model सुरक्षित **password hashing** को स्वचालित रूप से संभालता है (PBKDF2 जैसे मजबूत algorithms का उपयोग करते हुए) — आप कभी भी plaintext passwords को store या compare नहीं करते, एक प्रमुख security जोखिम को समाप्त करते हुए।

## Authenticating और logging in

```python
from django.contrib.auth import authenticate, login, logout

def login_view(request):
    user = authenticate(request, username=username, password=password)  # verify credentials
    if user is not None:
        login(request, user)             # establish a SESSION (sets request.user)
        return redirect("home")
    # else: invalid credentials

def logout_view(request):
    logout(request)                       # clear the session
```

`authenticate()` credentials को verify करता है, और `login()` एक session स्थापित करता है — जिसके बाद `request.user` प्रत्येक request पर logged-in user होता है (authentication middleware के माध्यम से)।

## views को protect करना (login की आवश्यकता)

```python
from django.contrib.auth.decorators import login_required

@login_required                          # redirect to login if not authenticated
def dashboard(request):
    return render(request, "dashboard.html", {"user": request.user})

# for class-based views:
from django.contrib.auth.mixins import LoginRequiredMixin
class DashboardView(LoginRequiredMixin, ListView): ...
```

## Permissions और authorization

```python
# checking permissions
request.user.is_authenticated            # is someone logged in?
request.user.is_staff / is_superuser     # role flags
request.user.has_perm("blog.add_article")# a specific permission
request.user.groups.all()                 # group membership (role-based access)

@permission_required("blog.add_article")
def create_article(request): ...
```

Django **authentication** (आप कौन हैं — login) को **authorization** (आप क्या कर सकते हैं — permissions) से अलग करता है। यह per-model permissions (add/change/delete/view), role-based access के लिए groups, और उन्हें लागू करने के लिए decorators/mixins प्रदान करता है।

## Built-in auth views और customization

```text
✓ Ready-made views/URLs for login, logout, password change/reset (django.contrib.auth.urls)
✓ Customizable: a CUSTOM USER MODEL (recommended from the start) to add fields,
  custom backends (e.g. authenticate via email or OAuth), password validators
```

## यह क्यों महत्वपूर्ण है

Django का built-in authentication system एक प्रमुख, security-महत्वपूर्ण विशेषता है जो आपको एक web application के सबसे त्रुटि-प्रवण और खतरनाक हिस्सों में से एक को खुद बनाने से बचाती है।

इसे समझना आवश्यक है क्योंकि लगभग हर वास्तविक application को user accounts, login, और access control की आवश्यकता होती है — और authentication को **गलत करना गंभीर security vulnerabilities पैदा करता है** (plaintext passwords, कमज़ोर hashing, session खामियाँ)।

Django का system इन्हें out of the box सही ढंग से संभालता है: यह **passwords को सुरक्षित रूप से hash करता है** (मजबूत algorithms, कभी plaintext नहीं — आप passwords को मैन्युअल रूप से संभालने के बजाय `create_user`/`set_password`/`check_password` का उपयोग करते हैं), sessions और login का प्रबंधन करता है (`authenticate`/`login`, middleware के माध्यम से हर जगह `request.user` उपलब्ध होने के साथ), और एक संपूर्ण **permissions और groups system** के माध्यम से authorization प्रदान करता है।

users को बनाना और authenticate करना जानना, views को protect करना (`@login_required`, `LoginRequiredMixin`), और permissions और groups के माध्यम से **authorization** लागू करना (authentication — आप कौन हैं — को authorization — आपको क्या करने की अनुमति है — से अलग करते हुए) सुरक्षित applications बनाने के लिए मूलभूत है।

system की विस्तारणीयता — विशेष रूप से fields जोड़ने के लिए एक **custom user model** का उपयोग करना (project की शुरुआत से दृढ़ता से अनुशंसित), और email/OAuth login के लिए custom backends — महत्वपूर्ण व्यावहारिक ज्ञान है।

क्योंकि authentication सर्वव्यापी और security-महत्वपूर्ण दोनों है, और क्योंकि Django एक मजबूत, सही, batteries-included समाधान प्रदान करता है, इसके auth system को निपुण करना मूल ज्ञान है जो आपको इस मूलभूत कार्यक्षमता को फिर से आविष्कार किए (और जोखिम में डाले) बिना सुरक्षित user-facing applications बनाने देता है।