A Django egy teljes, beépített hitelesítési rendszert tartalmaz (django.contrib.auth), amely kezeli a felhasználókat, jelszavakat, munkameneteket/bejelentkezést és engedélyeket — egy újabb "batteries-included" funkció, amely megmenti Önt attól, hogy ezt a biztonsággal kapcsolatos kritikus funkciót felépítse (és rosszul implementálja).
from django.contrib.auth.models import User
# passwords are HASHED automatically — never store plaintext
user = User.objects.create_user(username="ann", email="[email protected]", password="secret")
user.set_password("newpassword") # always use set_password (it hashes)
user.check_password("secret") # verify a password (constant-time)
A beépített User modell automatikusan kezeli a biztonságos jelszó-hashing-ot (erős algoritmusok, például PBKDF2 használatával) — soha nem tárol vagy hasonlít össze egyszerű szöveges jelszavakat, így kiküszöböl egy nagy biztonsági kockázatot.
from django.contrib.auth import authenticate, login, logout
def login_view(request):
user = authenticate(request, username=username, password=password) # verify credentials
if user is not None:
login(request, user) # establish a SESSION (sets request.user)
return redirect("home")
# else: invalid credentials
def logout_view(request):
logout(request) # clear the session
A authenticate() ellenőrzi a hitelesítési adatokat, és a login() munkamenetet hoz létre — ezt követően request.user a bejelentkezett felhasználó lesz minden kérésnél (a hitelesítési middleware-n keresztül).
from django.contrib.auth.decorators import login_required
@login_required # redirect to login if not authenticated
def dashboard(request):
return render(request, "dashboard.html", {"user": request.user})
# for class-based views:
from django.contrib.auth.mixins import LoginRequiredMixin
class DashboardView(LoginRequiredMixin, ListView): ...
# checking permissions
request.user.is_authenticated # is someone logged in?
request.user.is_staff / is_superuser # role flags
request.user.has_perm("blog.add_article")# a specific permission
request.user.groups.all() # group membership (role-based access)
@permission_required("blog.add_article")
def create_article(request): ...
A Django megkülönböztet hitelesítést (ki vagy — bejelentkezés) a hozzáférés-vezérléstől (mit tehetsz — engedélyek). Modellenkénti engedélyeket (hozzáadás/módosítás/törlés/megtekintés), csoportokat szerepalapú hozzáféréshez, valamint decoratorokat/mixineket biztosít az érvényesítéshez.
✓ Ready-made views/URLs for login, logout, password change/reset (django.contrib.auth.urls)
✓ Customizable: a CUSTOM USER MODEL (recommended from the start) to add fields,
custom backends (e.g. authenticate via email or OAuth), password validators
A Django beépített hitelesítési rendszere egy nagy, biztonsággal kapcsolatos kritikus funkció, amely megmenti Önt attól, hogy felépítse a webalkalmazás egyik legbizonytalanabb és legveszélyesebb részét.
Az megértése elengedhetetlen, mivel szinte minden valós alkalmazásnak szüksége van felhasználói fiókokra, bejelentkezésre és hozzáférés-vezérlésre — és a hitelesítés rossz végrehajtása komoly biztonsági réseket hoz létre (egyszerű szöveges jelszavak, gyenge hashing, munkamenet hibák).
A Django rendszere ezeket helyesen kezeli alapértelmezésben: biztonságosan hash-eli a jelszavakat (erős algoritmusok, soha nem egyszerű szöveg — a create_user/set_password/check_password használata helyett, nem pedig manuálisan kezeli a jelszavakat), kezeli a munkameneteket és a bejelentkezést (authenticate/login, request.user elérhető mindenhol a middleware-n keresztül), és hozzáférés-vezérlést biztosít egy teljes engedélyek és csoportok rendszeren keresztül.
Annak ismerete, hogy hogyan hozzon létre és hitelesítsen felhasználókat, védje meg a nézeteket (@login_required, LoginRequiredMixin), és érvényesítse az hozzáférés-vezérlést engedélyeken és csoportokon keresztül (megkülönböztetive a hitelesítést — ki vagy — a hozzáférés-vezérlésből — mit szabad tenned) alapvető a biztonságos alkalmazások fejlesztéséhez.
A rendszer bővíthetősége — különösen egy egyéni felhasználói modell használata (erősen ajánlott a projekt kezdetétől) további mezők hozzáadásához, és egyéni backends email/OAuth bejelentkezéshez — fontos praktikus ismeretanyag.
Mivel a hitelesítés egyaránt mindenütt jelen van és biztonsággal kapcsolatos kritikus funkció, és mivel a Django robusztus, helyes, batteries-included megoldást biztosít, az auth rendszer elsajátítása alapvető ismeretanyag, amely lehetővé teszi biztonságos felhasználó felé néző alkalmazások fejlesztését enélkül, hogy újra feltalálná (és kockáztatná) ezt az alapvető funkciót.
IT interjúkérdések gyűjteménye részletes válaszokkal — Juniortól Seniorig.
Adományozás