Django bevat een compleet, ingebouwd authenticatiesysteem (django.contrib.auth) dat gebruikers, wachtwoorden, sessies/login en machtigingen afhandelt — nog een "batteries-included" feature die je bewaart voor het bouwen van (en verkeerd implementeren van) deze beveiligingskritieke functionaliteit.
from django.contrib.auth.models import User
# passwords are HASHED automatically — never store plaintext
user = User.objects.create_user(username="ann", email="[email protected]", password="secret")
user.set_password("newpassword") # always use set_password (it hashes)
user.check_password("secret") # verify a password (constant-time)
Het ingebouwde User model handelt wachtwoord hashing automatisch af (met sterke algoritmes zoals PBKDF2) — je slaat nooit wachtwoorden in platte tekst op of vergelijkt ze, waardoor een groot beveiligingsrisico wordt geëlimineerd.
from django.contrib.auth import authenticate, login, logout
def login_view(request):
user = authenticate(request, username=username, password=password) # verify credentials
if user is not None:
login(request, user) # establish a SESSION (sets request.user)
return redirect("home")
# else: invalid credentials
def logout_view(request):
logout(request) # clear the session
authenticate() verifieert inloggegevens, en login() start een sessie — daarna is request.user de ingelogde gebruiker voor elk verzoek (via de authenticatie middleware).
from django.contrib.auth.decorators import login_required
@login_required # redirect to login if not authenticated
def dashboard(request):
return render(request, "dashboard.html", {"user": request.user})
# for class-based views:
from django.contrib.auth.mixins import LoginRequiredMixin
class DashboardView(LoginRequiredMixin, ListView): ...
# checking permissions
request.user.is_authenticated # is someone logged in?
request.user.is_staff / is_superuser # role flags
request.user.has_perm("blog.add_article")# a specific permission
request.user.groups.all() # group membership (role-based access)
@permission_required("blog.add_article")
def create_article(request): ...
Django onderscheidt authenticatie (wie je bent — login) van autorisatie (wat je kunt doen — machtigingen). Het biedt per-model machtigingen (add/change/delete/view), groepen voor op rollen gebaseerde toegang, en decorators/mixins om deze af te dwingen.
✓ Ready-made views/URLs for login, logout, password change/reset (django.contrib.auth.urls)
✓ Customizable: a CUSTOM USER MODEL (recommended from the start) to add fields,
custom backends (e.g. authenticate via email or OAuth), password validators
Django's ingebouwde authenticatiesysteem is een belangrijk, beveiligingskritiek feature dat je bewaart voor het bouwen van een van de meest foutgevoelige en gevaarlijke onderdelen van een webtoepassing zelf. "));Begrijpen is essentieel omdat bijna elke echte toepassing gebruikersaccounts, login en toegangsbeheer nodig heeft — en authenticatie verkeerd doen creëert ernstige beveiligingsproblemen (wachtwoorden in platte tekst, zwakke hashing, sessiefouten).
Django's systeem handelt deze correct uit de box af: het hasht wachtwoorden veilig (sterke algoritmes, nooit platte tekst — je gebruikt create_user/set_password/check_password in plaats van wachtwoorden handmatig af te handelen), beheert sessies en login (authenticate/login, met request.user overal beschikbaar via middleware), en biedt autorisatie via een compleet machtigingen- en groepensysteem.
Weten hoe je gebruikers kunt aanmaken en verifiëren, views kunt beschermen (@login_required, LoginRequiredMixin), en autorisatie via machtigingen en groepen kunt afdwingen (onderscheid maken tussen authenticatie — wie je bent — en autorisatie — wat je mag doen) is fundamenteel voor het bouwen van veilige toepassingen.
De uitbreidbaarheid van het systeem — vooral het gebruik van een aangepast user model (sterk aanbevolen vanaf het begin van het project) om velden toe te voegen, en aangepaste backends voor email/OAuth login — is belangrijk praktisch kennis.
Omdat authenticatie zowel alomtegenwoordig als beveiligingskritiek is, en omdat Django een robuuste, correcte, batteries-included oplossing biedt, is het beheersen van het auth-systeem kernkennis die je in staat stelt om veilige gebruikersgericht toepassingen te bouwen zonder deze fundamentele functionaliteit opnieuw uit te vinden (en in gevaar te brengen).