Bagaimana sistem autentikasi Django bekerja?

Question

Accepted Answer

Django menyertakan sistem **autentikasi** lengkap dan bawaan (`django.contrib.auth`) yang menangani **pengguna**, **kata sandi**, **sesi/login**, dan **izin** — fitur "batteries-included" lainnya yang menghemat Anda dari membangun (dan mendapatkan salah) fungsi yang penting untuk keamanan ini.

## Model User dan membuat pengguna

```python
from django.contrib.auth.models import User

# passwords are HASHED automatically — never store plaintext
user = User.objects.create_user(username="ann", email="a@x.com", password="secret")
user.set_password("newpassword")        # always use set_password (it hashes)
user.check_password("secret")            # verify a password (constant-time)
```

Model `User` bawaan menangani **hashing kata sandi** yang aman secara otomatis (menggunakan algoritma kuat seperti PBKDF2) — Anda tidak pernah menyimpan atau membandingkan kata sandi plaintext, menghilangkan risiko keamanan utama.

## Autentikasi dan login

```python
from django.contrib.auth import authenticate, login, logout

def login_view(request):
    user = authenticate(request, username=username, password=password)  # verify credentials
    if user is not None:
        login(request, user)             # establish a SESSION (sets request.user)
        return redirect("home")
    # else: invalid credentials

def logout_view(request):
    logout(request)                       # clear the session
```

`authenticate()` memverifikasi kredensial, dan `login()` membangun sesi — setelah itu `request.user` adalah pengguna yang masuk pada setiap permintaan (melalui middleware autentikasi).

## Melindungi views (memerlukan login)

```python
from django.contrib.auth.decorators import login_required

@login_required                          # redirect to login if not authenticated
def dashboard(request):
    return render(request, "dashboard.html", {"user": request.user})

# for class-based views:
from django.contrib.auth.mixins import LoginRequiredMixin
class DashboardView(LoginRequiredMixin, ListView): ...
```

## Izin dan otorisasi

```python
# checking permissions
request.user.is_authenticated            # is someone logged in?
request.user.is_staff / is_superuser     # role flags
request.user.has_perm("blog.add_article")# a specific permission
request.user.groups.all()                 # group membership (role-based access)

@permission_required("blog.add_article")
def create_article(request): ...
```

Django membedakan **autentikasi** (siapa Anda — login) dari **otorisasi** (apa yang dapat Anda lakukan — izin). Django menyediakan izin per-model (tambah/ubah/hapus/lihat), grup untuk akses berbasis peran, dan dekorator/mixin untuk memberlakukannya.

## Views autentikasi bawaan dan kustomisasi

```text
✓ Ready-made views/URLs for login, logout, password change/reset (django.contrib.auth.urls)
✓ Customizable: a CUSTOM USER MODEL (recommended from the start) to add fields,
  custom backends (e.g. authenticate via email or OAuth), password validators
```

## Mengapa ini penting

Sistem autentikasi bawaan Django adalah fitur utama dan penting untuk keamanan yang menghemat Anda dari membangun salah satu bagian aplikasi web yang paling rawan kesalahan dan berbahaya.

Memahaminya sangat penting karena hampir setiap aplikasi nyata membutuhkan akun pengguna, login, dan kontrol akses — dan autentikasi yang **salah menciptakan kerentanan keamanan serius** (kata sandi plaintext, hashing lemah, kerusakan sesi).

Sistem Django menangani ini dengan benar keluar dari kotak: **hash kata sandi dengan aman** (algoritma kuat, tidak pernah plaintext — Anda menggunakan `create_user`/`set_password`/`check_password` daripada menangani kata sandi secara manual), mengelola sesi dan login (`authenticate`/`login`, dengan `request.user` tersedia di mana-mana melalui middleware), dan menyediakan otorisasi melalui sistem **izin dan grup** yang lengkap.

Mengetahui cara membuat dan autentikasi pengguna, melindungi views (`@login_required`, `LoginRequiredMixin`), dan memberlakukan **otorisasi** melalui izin dan grup (membedakan autentikasi — siapa Anda — dari otorisasi — apa yang Anda boleh lakukan) adalah dasar untuk membangun aplikasi yang aman.

Ekstensibilitas sistem — terutama menggunakan **model pengguna khusus** (sangat direkomendasikan dari awal proyek) untuk menambahkan bidang, dan backend khusus untuk login email/OAuth — adalah pengetahuan praktis yang penting.

Karena autentikasi ada di mana-mana dan penting untuk keamanan, dan karena Django menyediakan solusi robust, benar, dan batteries-included, menguasai sistem auth-nya adalah pengetahuan inti yang memungkinkan Anda membangun aplikasi yang menghadap pengguna tanpa harus menemukan kembali (dan mengambil risiko) fungsi dasar ini.