Kaip veikia Django autentifikavimo sistema?

Question

Accepted Answer

Django apima visą, įtaisytą **autentifikavimo sistemą** (`django.contrib.auth`), tvarkančią **vartotojus**, **slaptažodžius**, **sesijas/prisijungimą** ir **teises** — dar viena "bateriju įtraukta" funkcija, kuri jus išgelbsti nuo šios saugai kritinės funkcionalumo kūrimo (ir klaidų).

## Vartotojo modelis ir vartotojų kūrimas

```python
from django.contrib.auth.models import User

# passwords are HASHED automatically — never store plaintext
user = User.objects.create_user(username="ann", email="a@x.com", password="secret")
user.set_password("newpassword")        # always use set_password (it hashes)
user.check_password("secret")            # verify a password (constant-time)
```

Įtaisytasis `User` modelis automatiškai tvarkosi su saugia **slaptažodžio maiše** (naudojant stiprius algoritmus, tokius kaip PBKDF2) — jūs niekada nesaugote ir nepalyginate paprasto teksto slaptažodžių, pašalindami didelę saugos riziką.

## Autentifikavimas ir prisijungimas

```python
from django.contrib.auth import authenticate, login, logout

def login_view(request):
    user = authenticate(request, username=username, password=password)  # verify credentials
    if user is not None:
        login(request, user)             # establish a SESSION (sets request.user)
        return redirect("home")
    # else: invalid credentials

def logout_view(request):
    logout(request)                       # clear the session
```

`authenticate()` patikrina kredencialus, o `login()` nustato sesiją — po to `request.user` yra prisijungęs vartotojas kiekviename užklausoje (per autentifikavimo tarpinę programą).

## Rodinių apsauga (reikalingas prisijungimas)

```python
from django.contrib.auth.decorators import login_required

@login_required                          # redirect to login if not authenticated
def dashboard(request):
    return render(request, "dashboard.html", {"user": request.user})

# for class-based views:
from django.contrib.auth.mixins import LoginRequiredMixin
class DashboardView(LoginRequiredMixin, ListView): ...
```

## Teisės ir autorizacija

```python
# checking permissions
request.user.is_authenticated            # is someone logged in?
request.user.is_staff / is_superuser     # role flags
request.user.has_perm("blog.add_article")# a specific permission
request.user.groups.all()                 # group membership (role-based access)

@permission_required("blog.add_article")
def create_article(request): ...
```

Django atskiria **autentifikavimą** (kas jūs esate — prisijungimas) nuo **autorizacijos** (ką galite daryti — teisės). Jis teikia teises pagal modelį (add/change/delete/view), grupes dėl vaidmens pagrindo prieigos ir dekoratorius/mišinius joms įgyvendinti.

## Įtaisyti autentifikavimo rodiniai ir prilagintis

```text
✓ Ready-made views/URLs for login, logout, password change/reset (django.contrib.auth.urls)
✓ Customizable: a CUSTOM USER MODEL (recommended from the start) to add fields,
  custom backends (e.g. authenticate via email or OAuth), password validators
```

## Kodėl tai svarbu

Django įtaisyta autentifikavimo sistema yra pagrindinė, saugai kritinė funkcija, kuri jus išgelbsti nuo vienos labiausiai klaidingų ir pavojingų žiniatinklio programos dalių kūrimo.

Jo supratimas yra būtinas, nes beveik kiekviena reali programa reikalauja vartotojo paskyrų, prisijungimo ir prieigos kontrolės — ir nepavykus autentifikavimui **sukuria rimtas saugos spragą** (paprastas teksto slaptažodžiai, silpna maiša, sesijos defektai).

Django sistema tai tvarko teisingai iš karto: ji **kriptografiniu būdu maiša slaptažodžius** (stiprūs algoritmai, niekada paprastas tekstas — jūs naudojate `create_user`/`set_password`/`check_password` o ne rankiniu būdu tvarkote slaptažodžius), tvarko sesijas ir prisijungimą (`authenticate`/`login`, o `request.user` pasiekiama visur per tarpinę programą) ir teikia autorizaciją per visą **teisių ir grupių sistemą**.

Žinoti, kaip kurti ir autentifikuoti vartotojus, apsaugoti rodinius (`@login_required`, `LoginRequiredMixin`) ir įgyvendinti **autorizaciją** per teises ir grupes (atskiriant autentifikavimą — kas jūs esate — nuo autorizacijos — ką jūs leista daryti) yra pagrindinė saugių aplikacijų kūrimo žinios.

Sistemos išplečiamumas — ypač naudojant **pasirinktinį vartotojo modelį** (stipriai rekomenduojama nuo projekto pradžios) laukams pridėti ir pasirinktinių galinių punktų el. pašto/OAuth prisijungimui — yra svarbi praktinė žinios.

Badang autentifikavimas yra tiek paplitęs, tiek saugai kritinis, ir nes Django teikia tvirtą, teisingą, bateriju įtrauktą sprendimą, jo autentifikavimo sistemos įvaldymas yra pagrindinė žinios, kuri leidžia kurti saugias, vartotojui skirtas aplikacijas neperkurint (ir neryškino) šios pagrindinės funkcionalumo.