Django의 인증 시스템은 어떻게 동작하나요?

Question

Accepted Answer

Django는 **사용자**, **비밀번호**, **세션/로그인**, **권한**을 처리하는 완전한 내장 **인증 시스템**(`django.contrib.auth`)을 포함합니다. 이는 또 다른 "배터리 포함" 기능으로, 이 보안에 중요한 기능을 직접 구축(하고 틀리는 것)하지 않게 해줍니다.

## User model과 사용자 생성

```python
from django.contrib.auth.models import User

# 비밀번호는 자동으로 해시됨 — 평문을 절대 저장하지 않음
user = User.objects.create_user(username="ann", email="a@x.com", password="secret")
user.set_password("newpassword")        # 항상 set_password 사용(해시함)
user.check_password("secret")            # 비밀번호 검증(상수 시간)
```

내장 `User` model은 안전한 **비밀번호 해싱**을 자동으로 처리합니다(PBKDF2 같은 강력한 알고리즘 사용). 평문 비밀번호를 저장하거나 비교하지 않으므로 주요 보안 위험을 제거합니다.

## 인증과 로그인

```python
from django.contrib.auth import authenticate, login, logout

def login_view(request):
    user = authenticate(request, username=username, password=password)  # 자격 증명 검증
    if user is not None:
        login(request, user)             # 세션 수립(request.user 설정)
        return redirect("home")
    # else: 잘못된 자격 증명

def logout_view(request):
    logout(request)                       # 세션 제거
```

`authenticate()`는 자격 증명을 검증하고, `login()`은 세션을 수립합니다. 그 후 `request.user`는 (인증 middleware를 통해) 모든 요청에서 로그인한 사용자가 됩니다.

## view 보호(로그인 요구)

```python
from django.contrib.auth.decorators import login_required

@login_required                          # 인증되지 않으면 로그인으로 리다이렉트
def dashboard(request):
    return render(request, "dashboard.html", {"user": request.user})

# 클래스 기반 view의 경우:
from django.contrib.auth.mixins import LoginRequiredMixin
class DashboardView(LoginRequiredMixin, ListView): ...
```

## 권한과 인가

```python
# 권한 확인
request.user.is_authenticated            # 누군가 로그인했는가?
request.user.is_staff / is_superuser     # 역할 플래그
request.user.has_perm("blog.add_article")# 특정 권한
request.user.groups.all()                 # 그룹 멤버십(역할 기반 접근)

@permission_required("blog.add_article")
def create_article(request): ...
```

Django는 **인증**(당신이 누구인가—로그인)과 **인가**(당신이 무엇을 할 수 있는가—권한)를 구분합니다. model별 권한(add/change/delete/view), 역할 기반 접근을 위한 그룹, 이를 강제하는 데코레이터/믹스인을 제공합니다.

## 내장 인증 view와 커스터마이징

```text
✓ 로그인, 로그아웃, 비밀번호 변경/재설정을 위한 기성 view/URL(django.contrib.auth.urls)
✓ 커스터마이징 가능: 필드 추가를 위한 커스텀 USER MODEL(처음부터 권장),
  커스텀 백엔드(예: 이메일 또는 OAuth로 인증), 비밀번호 검증기
```

## 왜 중요한가

Django의 내장 인증 시스템은 웹 애플리케이션에서 가장 오류 잦고 위험한 부분 중 하나를 직접 구축하지 않게 해주는 주요한, 보안에 중요한 기능입니다.

이를 이해하는 것이 필수적인 이유는 거의 모든 실제 애플리케이션에 사용자 계정, 로그인, 접근 제어가 필요하기 때문이며, 인증을 **잘못하면 심각한 보안 취약점**(평문 비밀번호, 약한 해싱, 세션 결함)을 만들기 때문입니다.

Django의 시스템은 이를 기본적으로 올바르게 처리합니다: 비밀번호를 **안전하게 해시**(강력한 알고리즘, 절대 평문 아님—비밀번호를 수동으로 다루는 대신 `create_user`/`set_password`/`check_password` 사용)하고, 세션과 로그인을 관리(`authenticate`/`login`, middleware를 통해 어디서나 `request.user` 사용 가능)하며, 완전한 **권한과 그룹 시스템**을 통해 인가를 제공합니다.

사용자를 생성하고 인증하는 방법, view를 보호하는 방법(`@login_required`, `LoginRequiredMixin`), 권한과 그룹을 통해 **인가**를 강제하는 방법(인증—당신이 누구인가—과 인가—당신이 무엇을 허용받는가—을 구분)을 아는 것은 안전한 애플리케이션을 구축하는 데 기초적입니다.

시스템의 확장성—특히 필드를 추가하기 위한 **커스텀 user model**(프로젝트 시작 시점부터 강력히 권장)과 이메일/OAuth 로그인을 위한 커스텀 백엔드 사용—은 중요한 실용 지식입니다.

인증은 어디에나 있고 보안에 중요하며, Django가 견고하고 올바른 배터리 포함 솔루션을 제공하므로, 그 인증 시스템을 숙달하는 것은 이 기초 기능을 재발명(하고 위험을 무릅쓰)하지 않고 안전한 사용자 대면 애플리케이션을 구축하게 해주는 핵심 지식입니다.