Django ची प्रमाणीकरण व्यवस्था कशी कार्य करते?

Question

Accepted Answer

Django मध्ये एक संपूर्ण, अंतर्निर्मित **प्रमाणीकरण प्रणाली** (`django.contrib.auth`) समाविष्ट आहे जी **वापरकर्ता**, **पासवर्ड**, **सेशन/लॉगिन** आणि **परवानगी** हाताळते — हे आणखी एक "बॅटरी समाविष्ट" वैशिष्ट्य आहे जे तुम्हाला (आणि चुकून) हे सुरक्षा-गंभीर कार्यक्षमता बांधण्यापासून वाचवते।

## वापरकर्ता मॉडेल आणि वापरकर्ता तयार करणे

```python
from django.contrib.auth.models import User

# passwords are HASHED automatically — never store plaintext
user = User.objects.create_user(username="ann", email="a@x.com", password="secret")
user.set_password("newpassword")        # always use set_password (it hashes)
user.check_password("secret")            # verify a password (constant-time)
```

अंतर्निर्मित `User` मॉडेल सुरक्षित **पासवर्ड हॅशिंग** स्वयंचलितपणे हाताळते (PBKDF2 सारख्या मजबूत अल्गोरिदम वापरून) — तुम्ही कधीही सादा मजकूर पासवर्ड संग्रहित किंवा तुलना करत नाही, एक प्रमुख सुरक्षा धोका दूर करता.

## प्रमाणीकरण आणि लॉगिंग इन

```python
from django.contrib.auth import authenticate, login, logout

def login_view(request):
    user = authenticate(request, username=username, password=password)  # verify credentials
    if user is not None:
        login(request, user)             # establish a SESSION (sets request.user)
        return redirect("home")
    # else: invalid credentials

def logout_view(request):
    logout(request)                       # clear the session
```

`authenticate()` क्रेडेंशियल्स सत्यापित करते, आणि `login()` एक सेशन स्थापित करते — ज्यानंतर `request.user` प्रत्येक विनंती वर लॉग इन केलेला वापरकर्ता आहे (प्रमाणीकरण मिडलवेअर द्वारे)।

## दृश्य संरक्षण (लॉगिनची आवश्यकता)

```python
from django.contrib.auth.decorators import login_required

@login_required                          # redirect to login if not authenticated
def dashboard(request):
    return render(request, "dashboard.html", {"user": request.user})

# for class-based views:
from django.contrib.auth.mixins import LoginRequiredMixin
class DashboardView(LoginRequiredMixin, ListView): ...
```

## परवानगी आणि प्राधिकरण

```python
# checking permissions
request.user.is_authenticated            # is someone logged in?
request.user.is_staff / is_superuser     # role flags
request.user.has_perm("blog.add_article")# a specific permission
request.user.groups.all()                 # group membership (role-based access)

@permission_required("blog.add_article")
def create_article(request): ...
```

Django **प्रमाणीकरण** (तुम्ही कोण आहात — लॉगिन) आणि **प्राधिकरण** (तुम्ही काय करू शकता — परवानगी) मध्ये फरक करते. हे प्रति-मॉडेल परवानगी (जोडा/बदला/हटवा/पहा), भूमिका-आधारित प्रवेशासाठी गट, आणि त्यांना लागू करण्यासाठी डेकोरेटर्स/मिक्सिन प्रदान करते.

## अंतर्निर्मित प्रमाणीकरण दृश्य आणि अनुकूलन

```text
✓ Ready-made views/URLs for login, logout, password change/reset (django.contrib.auth.urls)
✓ Customizable: a CUSTOM USER MODEL (recommended from the start) to add fields,
  custom backends (e.g. authenticate via email or OAuth), password validators
```

## हे महत्त्वाचे का आहे

Django ची अंतर्निर्मित प्रमाणीकरण प्रणाली एक प्रमुख, सुरक्षा-गंभीर वैशिष्ट्य आहे जे तुम्हाला वेब अनुप्रयोगाच्या सर्वात त्रुटी-प्रवण आणि धोकादायक भागांपैकी एक बांधण्यापासून वाचवते.

हे समजून घेणे अपरिहार्य आहे कारण जवळजवळ प्रत्येक वास्तविक अनुप्रयोगाला वापरकर्ता खाती, लॉगिन आणि प्रवेश नियंत्रण आवश्यक आहे — आणि प्रमाणीकरण **चुकीने गंभीर सुरक्षा असुरक्षितता** (सादा मजकूर पासवर्ड, कमजोर हॅशिंग, सेशन दोष) तयार करते.

Django ची प्रणाली हे बॉक्सच्या बाहेरच योग्यरित्या हाताळते: हे **पासवर्ड सुरक्षितपणे हॅश करते** (मजबूत अल्गोरिदम, कधीही सादा मजकूर नाही — तुम्ही `create_user`/`set_password`/`check_password` वापराल पासवर्ड मॅन्युअली हाताळण्याऐवजी), सेशन आणि लॉगिन व्यवस्थापित करते (`authenticate`/`login`, `request.user` मिडलवेअरद्वारे सर्वत्र उपलब्ध), आणि एक संपूर्ण **परवानगी आणि गट प्रणाली** द्वारे प्राधिकरण प्रदान करते.

वापरकर्ता तयार करणे आणि प्रमाणित करणे, दृश्य संरक्षण (`@login_required`, `LoginRequiredMixin`), आणि **प्राधिकरण** परवानगी आणि गट द्वारे लागू करणे (प्रमाणीकरण — तुम्ही कोण आहात — प्राधिकरण — तुम्हाला काय करण्याची परवानगी आहे यापासून वेगळे करणे) हे सुरक्षित अनुप्रयोग बांधण्यासाठी मौलिक आहे.

प्रणालीची विस्तारशीलता — विशेषतः **कस्टम वापरकर्ता मॉडेल** (प्रकल्पाच्या सुरुवातीस दृढ अनुशंसित) वापरून क्षेत्र जोडणे, आणि ईमेल/OAuth लॉगिनसाठी कस्टम बॅकएंड — हे महत्त्वाचे व्यावहारिक ज्ञान आहे.

कारण प्रमाणीकरण सर्वव्यापी आणि सुरक्षा-गंभीर दोन्ही आहे, आणि कारण Django एक मजबूत, योग्य, बॅटरी समाविष्ट समाधान प्रदान करते, त्याच्या प्रमाणीकरण प्रणालीमध्ये प्रभुत्व मिळवणे हे मूल ज्ञान आहे जे तुम्हाला या मूलभूत कार्यक्षमतेची पुनरावृत्ती (आणि जोखीम) न घेता सुरक्षित वापरकर्ता-सामना करणारे अनुप्रयोग बांधू देते.