Kif taħdem is-sistema ta' awtentikazzjoni ta' Django?

Question

Accepted Answer

Django jinkludi sistema kumpleta, integrata **awtentikazzjoni** (`django.contrib.auth`) li tipprovdi **utenti**, **passwords**, **sessions/login**, u **permessi** — aktar waħda mid-differenzi "batteries-included" li tisalvak milli tibni (u tgħaqqad ħażin) dan il-funzjonalità kritika għall-sigurtà.

## Il-mudell User u l-ħolqien ta' utenti

```python
from django.contrib.auth.models import User

# passwords are HASHED automatically — never store plaintext
user = User.objects.create_user(username="ann", email="a@x.com", password="secret")
user.set_password("newpassword")        # always use set_password (it hashes)
user.check_password("secret")            # verify a password (constant-time)
```

Il-mudell `User` integrat jittratta **password hashing** sigur awtomatikament (billi juża algoritmi b'saħħa bħal PBKDF2) — qatt ma taħżin jew tqabbel passwords fil-passwords ta' testi ordinarja, eliminando riskju ta' sigurtà maġġuri.

## L-awtentikazzjoni u l-login

```python
from django.contrib.auth import authenticate, login, logout

def login_view(request):
    user = authenticate(request, username=username, password=password)  # verify credentials
    if user is not None:
        login(request, user)             # establish a SESSION (sets request.user)
        return redirect("home")
    # else: invalid credentials

def logout_view(request):
    logout(request)                       # clear the session
```

`authenticate()` jivverifika credentials, u `login()` jistabbilixxi sessjoni — wara li `request.user` huwa l-utent login fuq kull request (permezz tal-middleware ta' awtentikazzjoni).

## Il-protezzjoni ta' views (li jirrikjedi login)

```python
from django.contrib.auth.decorators import login_required

@login_required                          # redirect to login if not authenticated
def dashboard(request):
    return render(request, "dashboard.html", {"user": request.user})

# for class-based views:
from django.contrib.auth.mixins import LoginRequiredMixin
class DashboardView(LoginRequiredMixin, ListView): ...
```

## Permessi u awtorizzazzjoni

```python
# checking permissions
request.user.is_authenticated            # is someone logged in?
request.user.is_staff / is_superuser     # role flags
request.user.has_perm("blog.add_article")# a specific permission
request.user.groups.all()                 # group membership (role-based access)

@permission_required("blog.add_article")
def create_article(request): ...
```

Django jiddistingwi **awtentikazzjoni** (min int — login) minn **awtorizzazzjoni** (x'tista' tagħmel — permessi). Jipprovdi permessi per-mudell (add/change/delete/view), gruppi għal aċċess ibbażat fuq rwoli, u decorators/mixins biex jenfurzahom.

## Views ta' awtentikazzjoni integrati u customizzazzjoni

```text
✓ Ready-made views/URLs for login, logout, password change/reset (django.contrib.auth.urls)
✓ Customizable: a CUSTOM USER MODEL (recommended from the start) to add fields,
  custom backends (e.g. authenticate via email or OAuth), password validators
```

## Għaliex importa

Is-sistema ta' awtentikazzjoni integrata ta' Django hija feature maġġuri, kritika għall-sigurtà li tisalvak milli tibni waħda mill-aktar partijiet pruni għal żbalji u perikuluża ta' applikazzjoni web.

Fhim tagħha huwa essenzjali għax kważi kull applikazzjoni vera teħtieġ accounts utent, login, u kontroll tal-aċċess — u l-awtentikazzjoni ħażina **toħloq vulnerabilità ta' sigurtà serja** (passwords fil-passwords ta' testi ordinarja, hashing dgħajjef, flaws tal-sessjoni).

Is-sistema ta' Django tittratta dawn korretti out of the box: tixxa **passwords b'mod sigur** (algoritmi b'saħħa, qatt passwords fil-passwords ta' testi ordinarja — tuża `create_user`/`set_password`/`check_password` minflok tipprocessa passwords manwalment), iddir sessions u login (`authenticate`/`login`, b'`request.user` disponibbli kullimkien permezz tal-middleware), u tipprovdi awtorizzazzjoni permezz ta' sistema kumpleta ta' **permessi u gruppi**.

L-għarfien ta' kif toħloq u tawtentika utenti, tipproteġi views (`@login_required`, `LoginRequiredMixin`), u tenfurza **awtorizzazzjoni** permezz ta' permessi u gruppi (jiddistingwu awtentikazzjoni — min int — minn awtorizzazzjoni — x'jieħu permess tagħmel) huwa fundamentali għat-tibni ta' applikazzjonijiet siguri.

L-estensibilità tas-sistema — speċjalment billi juża **mudell utent custom** (rikkommandat sew mit-tieqa tal-proġett) biex iżżid fields, u backends custom għal email/OAuth login — huwa għarfien prattiku importanti.

Għax awtentikazzjoni hija kemm ubikwitwu kif ukoll kritika għall-sigurtà, u għax Django jipprovdi soluzzjoni robusta, korretta, batteries-included, il-masterizzazzjoni tas-sistema ta' auth tagħha hija għarfien essenzjali li jielleħlek tibni applikazzjonijiet siguri li jiffaċċjaw utenti mingħajr li tirrinventa (u tirrisku) dan il-funzjonalità fundamentali.