Hogyan működik a Django hitelesítési rendszere?

Question

Accepted Answer

A Django egy teljes, beépített **hitelesítési rendszert** tartalmaz (`django.contrib.auth`), amely kezeli a **felhasználókat**, **jelszavakat**, **munkameneteket/bejelentkezést** és **engedélyeket** — egy újabb "batteries-included" funkció, amely megmenti Önt attól, hogy ezt a biztonsággal kapcsolatos kritikus funkciót felépítse (és rosszul implementálja).

## A User modell és felhasználók létrehozása

```python
from django.contrib.auth.models import User

# passwords are HASHED automatically — never store plaintext
user = User.objects.create_user(username="ann", email="a@x.com", password="secret")
user.set_password("newpassword")        # always use set_password (it hashes)
user.check_password("secret")            # verify a password (constant-time)
```

A beépített `User` modell automatikusan kezeli a biztonságos **jelszó-hashing**-ot (erős algoritmusok, például PBKDF2 használatával) — soha nem tárol vagy hasonlít össze egyszerű szöveges jelszavakat, így kiküszöböl egy nagy biztonsági kockázatot.

## Hitelesítés és bejelentkezés

```python
from django.contrib.auth import authenticate, login, logout

def login_view(request):
    user = authenticate(request, username=username, password=password)  # verify credentials
    if user is not None:
        login(request, user)             # establish a SESSION (sets request.user)
        return redirect("home")
    # else: invalid credentials

def logout_view(request):
    logout(request)                       # clear the session
```

A `authenticate()` ellenőrzi a hitelesítési adatokat, és a `login()` munkamenetet hoz létre — ezt követően `request.user` a bejelentkezett felhasználó lesz minden kérésnél (a hitelesítési middleware-n keresztül).

## Nézetek védelme (bejelentkezés megkövetelése)

```python
from django.contrib.auth.decorators import login_required

@login_required                          # redirect to login if not authenticated
def dashboard(request):
    return render(request, "dashboard.html", {"user": request.user})

# for class-based views:
from django.contrib.auth.mixins import LoginRequiredMixin
class DashboardView(LoginRequiredMixin, ListView): ...
```

## Engedélyek és hozzáférés-vezérlés

```python
# checking permissions
request.user.is_authenticated            # is someone logged in?
request.user.is_staff / is_superuser     # role flags
request.user.has_perm("blog.add_article")# a specific permission
request.user.groups.all()                 # group membership (role-based access)

@permission_required("blog.add_article")
def create_article(request): ...
```

A Django megkülönböztet **hitelesítést** (ki vagy — bejelentkezés) a **hozzáférés-vezérléstől** (mit tehetsz — engedélyek). Modellenkénti engedélyeket (hozzáadás/módosítás/törlés/megtekintés), csoportokat szerepalapú hozzáféréshez, valamint decoratorokat/mixineket biztosít az érvényesítéshez.

## Beépített auth nézetek és testreszabás

```text
✓ Ready-made views/URLs for login, logout, password change/reset (django.contrib.auth.urls)
✓ Customizable: a CUSTOM USER MODEL (recommended from the start) to add fields,
  custom backends (e.g. authenticate via email or OAuth), password validators
```

## Miért fontos

A Django beépített hitelesítési rendszere egy nagy, biztonsággal kapcsolatos kritikus funkció, amely megmenti Önt attól, hogy felépítse a webalkalmazás egyik legbizonytalanabb és legveszélyesebb részét.

Az megértése elengedhetetlen, mivel szinte minden valós alkalmazásnak szüksége van felhasználói fiókokra, bejelentkezésre és hozzáférés-vezérlésre — és a hitelesítés **rossz végrehajtása komoly biztonsági réseket hoz létre** (egyszerű szöveges jelszavak, gyenge hashing, munkamenet hibák).

A Django rendszere ezeket helyesen kezeli alapértelmezésben: **biztonságosan hash-eli a jelszavakat** (erős algoritmusok, soha nem egyszerű szöveg — a `create_user`/`set_password`/`check_password` használata helyett, nem pedig manuálisan kezeli a jelszavakat), kezeli a munkameneteket és a bejelentkezést (`authenticate`/`login`, `request.user` elérhető mindenhol a middleware-n keresztül), és hozzáférés-vezérlést biztosít egy teljes **engedélyek és csoportok rendszeren** keresztül.

Annak ismerete, hogy hogyan hozzon létre és hitelesítsen felhasználókat, védje meg a nézeteket (`@login_required`, `LoginRequiredMixin`), és érvényesítse az **hozzáférés-vezérlést** engedélyeken és csoportokon keresztül (megkülönböztetive a hitelesítést — ki vagy — a hozzáférés-vezérlésből — mit szabad tenned) alapvető a biztonságos alkalmazások fejlesztéséhez.

A rendszer bővíthetősége — különösen egy **egyéni felhasználói modell** használata (erősen ajánlott a projekt kezdetétől) további mezők hozzáadásához, és egyéni backends email/OAuth bejelentkezéshez — fontos praktikus ismeretanyag.

Mivel a hitelesítés egyaránt mindenütt jelen van és biztonsággal kapcsolatos kritikus funkció, és mivel a Django robusztus, helyes, batteries-included megoldást biztosít, az auth rendszer elsajátítása alapvető ismeretanyag, amely lehetővé teszi biztonságos felhasználó felé néző alkalmazások fejlesztését enélkül, hogy újra feltalálná (és kockáztatná) ezt az alapvető funkciót.