Django menyertakan sistem pengesahan terbina dalam yang lengkap (django.contrib.auth) yang mengendalikan pengguna, kata laluan, sesi/log masuk, dan kebenaran — satu lagi ciri "batteries-included" yang menyelamatkan anda daripada membina (dan tersilap) fungsi kritikal keselamatan ini.
from django.contrib.auth.models import User
# passwords are HASHED automatically — never store plaintext
user = User.objects.create_user(username="ann", email="[email protected]", password="secret")
user.set_password("newpassword") # always use set_password (it hashes)
user.check_password("secret") # verify a password (constant-time)
Model User terbina dalam mengendalikan pencincangan kata laluan yang selamat secara automatik (menggunakan algoritma kuat seperti PBKDF2) — anda tidak pernah menyimpan atau membandingkan kata laluan teks biasa, menghapuskan risiko keselamatan yang besar.
from django.contrib.auth import authenticate, login, logout
def login_view(request):
user = authenticate(request, username=username, password=password) # verify credentials
if user is not None:
login(request, user) # establish a SESSION (sets request.user)
return redirect("home")
# else: invalid credentials
def logout_view(request):
logout(request) # clear the session
authenticate() mengesahkan kelayakan, dan login() mewujudkan sesi — selepas itu request.user ialah pengguna yang log masuk pada setiap permintaan (melalui middleware pengesahan).
from django.contrib.auth.decorators import login_required
@login_required # redirect to login if not authenticated
def dashboard(request):
return render(request, "dashboard.html", {"user": request.user})
# for class-based views:
from django.contrib.auth.mixins import LoginRequiredMixin
class DashboardView(LoginRequiredMixin, ListView): ...
# checking permissions
request.user.is_authenticated # is someone logged in?
request.user.is_staff / is_superuser # role flags
request.user.has_perm("blog.add_article")# a specific permission
request.user.groups.all() # group membership (role-based access)
@permission_required("blog.add_article")
def create_article(request): ...
Django membezakan pengesahan (siapa anda — log masuk) daripada pemberi kuasa (apa yang anda boleh lakukan — kebenaran). Ia menyediakan kebenaran setiap model (tambah/ubah/padam/lihat), kumpulan untuk akses berasaskan peranan, dan decorator/mixin untuk menguatkuasakannya.
✓ Ready-made views/URLs for login, logout, password change/reset (django.contrib.auth.urls)
✓ Customizable: a CUSTOM USER MODEL (recommended from the start) to add fields,
custom backends (e.g. authenticate via email or OAuth), password validators
Sistem pengesahan terbina dalam Django ialah ciri kritikal keselamatan yang utama yang menyelamatkan anda daripada membina salah satu bahagian aplikasi web yang paling terdedah kepada ralat dan berbahaya sendiri.
Memahaminya adalah penting kerana hampir setiap aplikasi sebenar memerlukan akaun pengguna, log masuk, dan kawalan akses — dan tersilap dalam pengesahan mewujudkan kerentanan keselamatan yang serius (kata laluan teks biasa, pencincangan lemah, kecacatan sesi).
Sistem Django mengendalikan ini dengan betul secara langsung: ia mencincang kata laluan dengan selamat (algoritma kuat, tidak pernah teks biasa — anda menggunakan create_user/set_password/check_password dan bukannya mengendalikan kata laluan secara manual), mengurus sesi dan log masuk (authenticate/login, dengan request.user tersedia di mana-mana melalui middleware), dan menyediakan pemberi kuasa melalui sistem kebenaran dan kumpulan yang lengkap.
Mengetahui cara mencipta dan mengesahkan pengguna, melindungi view (@login_required, LoginRequiredMixin), dan menguatkuasakan pemberi kuasa melalui kebenaran dan kumpulan (membezakan pengesahan — siapa anda — daripada pemberi kuasa — apa yang anda dibenarkan lakukan) adalah asas untuk membina aplikasi yang selamat.
Kebolehluasan sistem — terutamanya menggunakan model pengguna tersuai (amat disyorkan dari permulaan projek) untuk menambah medan, dan backend tersuai untuk log masuk email/OAuth — adalah pengetahuan praktikal yang penting.
Kerana pengesahan adalah kedua-dua di mana-mana dan kritikal keselamatan, dan kerana Django menyediakan penyelesaian batteries-included yang teguh dan betul, menguasai sistem auth-nya ialah pengetahuan teras yang membolehkan anda membina aplikasi menghadap pengguna yang selamat tanpa mencipta semula (dan mempertaruhkan) fungsi asas ini.