Django inkluderer et komplett, innebygd autentiseringssystem (django.contrib.auth) som håndterer brukere, passord, økter/innlogging og tillatelser — enda et "batteries-included" funksjon som sparer deg fra å bygge (og få feil på) denne sikkerhetskritiske funksjonaliteten.
from django.contrib.auth.models import User
# passwords are HASHED automatically — never store plaintext
user = User.objects.create_user(username="ann", email="[email protected]", password="secret")
user.set_password("newpassword") # always use set_password (it hashes)
user.check_password("secret") # verify a password (constant-time)
Den innebygde User-modellen håndterer sikker passord-hashing automatisk (ved hjelp av sterke algoritmer som PBKDF2) — du lagrer eller sammenligner aldri klartekstpassord, noe som eliminerer en stor sikkerhetskrise.
from django.contrib.auth import authenticate, login, logout
def login_view(request):
user = authenticate(request, username=username, password=password) # verify credentials
if user is not None:
login(request, user) # establish a SESSION (sets request.user)
return redirect("home")
# else: invalid credentials
def logout_view(request):
logout(request) # clear the session
authenticate() verifiserer legitimasjonen, og login() etablerer en økt — etter det er request.user den innloggede brukeren på hver forespørsel (via autentiseringsmiddelware).
from django.contrib.auth.decorators import login_required
@login_required # redirect to login if not authenticated
def dashboard(request):
return render(request, "dashboard.html", {"user": request.user})
# for class-based views:
from django.contrib.auth.mixins import LoginRequiredMixin
class DashboardView(LoginRequiredMixin, ListView): ...
# checking permissions
request.user.is_authenticated # is someone logged in?
request.user.is_staff / is_superuser # role flags
request.user.has_perm("blog.add_article")# a specific permission
request.user.groups.all() # group membership (role-based access)
@permission_required("blog.add_article")
def create_article(request): ...
Django skiller mellom autentisering (hvem du er — innlogging) og autorisering (hva du kan gjøre — tillatelser). Den gir tillatelser per modell (add/change/delete/view), grupper for rollebasert tilgang, og dekoratører/mixins for å håndheve dem.
✓ Ready-made views/URLs for login, logout, password change/reset (django.contrib.auth.urls)
✓ Customizable: a CUSTOM USER MODEL (recommended from the start) to add fields,
custom backends (e.g. authenticate via email or OAuth), password validators
Djangos innebygde autentiseringssystem er en stor, sikkerhetskritisk funksjon som sparer deg fra å bygge en av de mest feilutsatte og farlige delene av en webapplikasjon selv.
Å forstå det er essensielt fordi nesten alle ekte applikasjoner trenger brukerkontoer, innlogging og tilgangskontroll — og å få autentisering feil skaper alvorlige sikkerhetsmessige sårbarheter (klartekstpassord, svak hashing, sesjonsfeil).
Djangos system håndterer disse riktig ut av boksen: det hasher passord sikkert (sterke algoritmer, aldri klartekst — du bruker create_user/set_password/check_password i stedet for å håndtere passord manuelt), administrerer økter og innlogging (authenticate/login, med request.user tilgjengelig overalt via middleware), og gir autorisering gjennom et komplett tillatelser og grupper-system.
Å vite hvordan man oppretter og autentiserer brukere, beskytter visninger (@login_required, LoginRequiredMixin), og håndhever autorisering via tillatelser og grupper (som skiller autentisering — hvem du er — fra autorisering — hva du har lov til å gjøre) er grunnleggende for å bygge sikre applikasjoner.
Systemets utvidbarhet — spesielt ved å bruke en egendefinert brukermodell (sterkt anbefalt fra prosjektets start) for å legge til felt, og egendefinerte backends for e-post/OAuth-innlogging — er viktig praktisk kunnskap.
Fordi autentisering både er allestedsstede og sikkerhetskritisk, og fordi Django gir en robust, riktig, batteries-included løsning, er det å mestre dets auth-system kjernekunnskap som lar deg bygge sikre brukervendte applikasjoner uten å reinventers (og risikere) denne grunnleggende funksjonaliteten.