Django uključuje potpun, ugrađeni sustav autentifikacije (django.contrib.auth) koji rukuje korisnicima, lozinkama, sesijama/prijavom i dozvolama — još jedna "all-batteries-included" mogućnost koja vas štiti od izgradnje (i pogrešnog implementiranja) ove sigurnosno-kritične funkcionalnosti.
from django.contrib.auth.models import User
# passwords are HASHED automatically — never store plaintext
user = User.objects.create_user(username="ann", email="[email protected]", password="secret")
user.set_password("newpassword") # always use set_password (it hashes)
user.check_password("secret") # verify a password (constant-time)
Ugrađeni User model automatski rukuje sigurnom heširanjem lozinki (koristeći jake algoritme poput PBKDF2) — nikad ne pohranjujete ili uspoređujete obične tekstualne lozinke, čime se elimira glavna sigurnosna rizika.
from django.contrib.auth import authenticate, login, logout
def login_view(request):
user = authenticate(request, username=username, password=password) # verify credentials
if user is not None:
login(request, user) # establish a SESSION (sets request.user)
return redirect("home")
# else: invalid credentials
def logout_view(request):
logout(request) # clear the session
authenticate() provjerava vjerodajnice, a login() uspostavljuje sesiju — nakon čega je request.user prijavljeni korisnik na svakom zahtjevu (preko middleware-a za autentifikaciju).
from django.contrib.auth.decorators import login_required
@login_required # redirect to login if not authenticated
def dashboard(request):
return render(request, "dashboard.html", {"user": request.user})
# for class-based views:
from django.contrib.auth.mixins import LoginRequiredMixin
class DashboardView(LoginRequiredMixin, ListView): ...
# checking permissions
request.user.is_authenticated # is someone logged in?
request.user.is_staff / is_superuser # role flags
request.user.has_perm("blog.add_article")# a specific permission
request.user.groups.all() # group membership (role-based access)
@permission_required("blog.add_article")
def create_article(request): ...
Django razlikuje autentifikaciju (tko ste — prijava) od autorizacije (što možete učiniti — dozvole). Pruža dozvole po modelu (dodaj/promijeni/obriši/pregledaj), grupe za pristup baziran na ulogama te dekoratere/mixine za njihovo provođenje.
✓ Ready-made views/URLs for login, logout, password change/reset (django.contrib.auth.urls)
✓ Customizable: a CUSTOM USER MODEL (recommended from the start) to add fields,
custom backends (e.g. authenticate via email or OAuth), password validators
Django-ov ugrađeni sustav autentifikacije je glavna, sigurnosno-kritična mogućnost koja vas štiti od izgradnje jednog od najčešćih i najopasnije izvršenih dijelova web-aplikacije.
Razumijevanje ga je ključno jer gotovo svaka prava aplikacija trebala bi korisničke račune, prijavu i kontrolu pristupa — a pogrešna autentifikacija stvara ozbiljne sigurnosne ranjivosti (obične lozinke, slabo heširanje, greške u sesijama).
Django-ov sustav to ispravno radi iz kutije: heširuje lozinke sigurno (jaki algoritmi, nikada obični tekst — koristite create_user/set_password/check_password umjesto ručnog rukovanja lozinkama), upravlja sesijama i prijavom (authenticate/login, s request.user dostupnim svugdje preko middleware-a) te pruža autorizaciju kroz potpuni sustav dozvola i grupa.
Znanje kako stvarati i autentificirati korisnike, zaštititi prikaze (@login_required, LoginRequiredMixin) te provesti autorizaciju preko dozvola i grupa (razlikovanje autentifikacije — tko ste — od autorizacije — što vam je dozvoljeno) je temeljno za izgradnju sigurnih aplikacija.
Proširivost sustava — posebno korištenje prilagođenog user modela (snažno preporučeno od početka projekta) za dodavanje polja te prilagođenih backend-a za e-mail/OAuth prijavu — je važno praktično znanje.
Jer je autentifikacija i sveprisutna i sigurnosno-kritična, a jer Django pruža robustan, ispravan, all-batteries-included rješenje, svladavanje njegovog auth sustava je temeljno znanje koje vam omogućava izgradnju sigurnih aplikacija orijentiranih prema korisnicima bez ponovno izmišljanja (i rizika) ove temeljne funkcionalnosti.