Djangoは認証システム（django.contrib.auth）を含む完全で組み込まれた機能を備えており、ユーザー、パスワード、セッション/ログイン、パーミッションを処理します。これは「バッテリー同梱」の機能で、このセキュリティクリティカルな機能を自分で実装して（そして誤って実装して）しまう手間を省いてくれます。
django.contrib.auth.models User
user = User.objects.create_user(username=, email=, password=)
user.set_password()
user.check_password()
組み込みのUserモデルはパスワードハッシングを自動的に処理します（PBKDF2のような強力なアルゴリズムを使用）。プレーンテキストのパスワードを保存したり比較したりすることはありません。これにより、重大なセキュリティリスクが排除されます。
from django.contrib.auth import authenticate, login, logout
def login_view(request):
user = authenticate(request, username=username, password=password) # verify credentials
if user is not None:
login(request, user) # establish a SESSION (sets request.user)
return redirect("home")
# else: invalid credentials
def logout_view(request):
logout(request) # clear the session
authenticate()は認証情報を検証し、login()はセッションを確立します。その後、認証ミドルウェアを介して、すべてのリクエストでrequest.userがログイン中のユーザーになります。
from django.contrib.auth.decorators import login_required
@login_required # redirect to login if not authenticated
def dashboard(request):
return render(request, "dashboard.html", {"user": request.user})
# for class-based views:
from django.contrib.auth.mixins import LoginRequiredMixin
class DashboardView(LoginRequiredMixin, ListView): ...
# checking permissions
request.user.is_authenticated # is someone logged in?
request.user.is_staff / is_superuser # role flags
request.user.has_perm("blog.add_article")# a specific permission
request.user.groups.all() # group membership (role-based access)
@permission_required("blog.add_article")
def create_article(request): ...
Djangoは認証（あなたは誰か—ログイン）と認可（何ができるか—パーミッション）を区別します。モデルごとのパーミッション（追加/変更/削除/表示）、ロールベースのアクセス用のグループ、および強制するためのデコレーター/ミックスインを提供します。
✓ Ready-made views/URLs for login, logout, password change/reset (django.contrib.auth.urls)
✓ Customizable: a CUSTOM USER MODEL (recommended from the start) to add fields,
custom backends (e.g. authenticate via email or OAuth), password validators
Djangoの組み込み認証システムは、Webアプリケーションの最もエラーが起こりやすく危険な部分の一つを自分で実装する手間から救ってくれる、重要でセキュリティクリティカルな機能です。
h理解することは不可欠です。ほぼすべての実際のアプリケーションはユーザーアカウント、ログイン、アクセス制御が必要だからです。認証を誤った実装は深刻なセキュリティ脆弱性を生み出します（プレーンテキストパスワード、弱いハッシング、セッションの欠陥）。
Djangoのシステムは これらをすぐに正しく処理します。パスワードを安全にハッシング（強力なアルゴリズム、プレーンテキストなし—create_user/set_password/check_passwordを使用してパスワードを手動で処理する代わりに）、セッションとログインを管理（authenticate/login、ミドルウェアを介してrequest.userがどこでも利用可能）、完全なパーミッションとグループシステムによる認可を提供します。
ユーザーを作成および認証し、ビューを保護（@login_required、LoginRequiredMixin）し、パーミッションとグループを通じて認可を強制する方法を知ること（認証—あなたは誰か—と認可—何をすることが許可されているか—を区別する）は、セキュアなアプリケーションを構築するための基本的なものです。
システムの拡張性—特にカスタムユーザーモデル（プロジェクトの開始から強く推奨）を使用してフィールドを追加したり、メール/OAuthログイン用のカスタムバックエンドを使用したりすることは、重要な実践的知識です。
認証はユビキタスでセキュリティクリティカルであり、Djangoはロバストで正しいバッテリー同梱のソリューションを提供しているため、その認証システムを習得することは、この基本的な機能を再発明して（そしてリスクにさらして）しまう必要なく、セキュアなユーザー向けアプリケーションを構築するためのコア知識です。