Django ਦਾ ਪ੍ਰਮਾਣਿਕਤਾ ਸਿਸਟਮ ਕਿਵੇਂ ਕੰਮ ਕਰਦਾ ਹੈ?

Question

Accepted Answer

Django ਵਿੱਚ ایک ਪੂਰਨ, ਬਿਲਟ-ਇਨ **ਪ੍ਰਮਾਣਿਕਤਾ ਸਿਸਟਮ** (`django.contrib.auth`) ਸ਼ਾਮਲ ਹੈ ਜੋ **ਉਪਭੋਗਤਾ**, **ਪਾਸਵਰਡ**, **ਸੈਸ਼ਨ/ਲਾਗਇਨ**, ਅਤੇ **ਅਨੁਮਤੀਆਂ** ਨੂੰ ਸੰਭਾਲਦਾ ਹੈ — ਇਹ ਇੱਕ ਹੋਰ "batteries-included" ਵਿਸ਼ੇਸ਼ਤਾ ਹੈ ਜੋ ਤੁਹਾਨੂੰ ਇਸ ਸੁਰੱਖਿਆ-ਮਹੱਤਵਪੂਰਨ ਕਾਰਜਸ਼ੀਲਤਾ ਨੂੰ ਬਣਾਉਣ ਅਤੇ ਗਲਤ ਤਰੀਕੇ ਨਾਲ ਲਾਗੂ ਕਰਨ ਤੋਂ ਬਚਾਉਂਦੀ ਹੈ।

## ਉਪਭੋਗਤਾ ਮਾਡਲ ਅਤੇ ਉਪਭੋਗਤਾਵਾਂ ਬਣਾਉਣਾ

```python
from django.contrib.auth.models import User

# passwords are HASHED automatically — never store plaintext
user = User.objects.create_user(username="ann", email="a@x.com", password="secret")
user.set_password("newpassword")        # always use set_password (it hashes)
user.check_password("secret")            # verify a password (constant-time)
```

ਬਿਲਟ-ਇਨ `User` ਮਾਡਲ ਸੁਰੱਖਿਤ **ਪਾਸਵਰਡ ਹੈਸ਼ਿੰਗ** ਨੂੰ ਸਵਤੁਮੈਟਿਕ ਤੌਰ 'ਤੇ ਸੰਭਾਲਦਾ ਹੈ (PBKDF2 ਵਰਗੇ ਮਜ਼ਬੂਤ ਐਲਗੋਰਿਦਮ ਦੀ ਵਰਤੋਂ ਕਰਦੇ ਹੋਏ) — ਤੁਸੀਂ ਕਦੇ ਪਲੇਨ ਟੈਕਸਟ ਪਾਸਵਰਡ ਸਟੋਰ ਜਾਂ ਤੁਲਨਾ ਨਹੀਂ ਕਰਦੇ, ਜੋ ਇੱਕ ਵੱਡਾ ਸੁਰੱਖਿਆ ਜੋਖਮ ਖਤਮ ਕਰਦਾ ਹੈ।

## ਪ੍ਰਮਾਣਿਕ ਕਰਨਾ ਅਤੇ ਲਾਗ ਇਨ ਕਰਨਾ

```python
from django.contrib.auth import authenticate, login, logout

def login_view(request):
    user = authenticate(request, username=username, password=password)  # verify credentials
    if user is not None:
        login(request, user)             # establish a SESSION (sets request.user)
        return redirect("home")
    # else: invalid credentials

def logout_view(request):
    logout(request)                       # clear the session
```

`authenticate()` ਪ੍ਰਮਾਣ-ਪੱਤਰ ਨੂੰ ਪ੍ਰਮਾਣਿਤ ਕਰਦਾ ਹੈ, ਅਤੇ `login()` ਇੱਕ ਸੈਸ਼ਨ ਸਥਾਪਿਤ ਕਰਦਾ ਹੈ — ਜਿਸ ਤੋਂ ਬਾਅਦ `request.user` ਪ੍ਰਮਾਣਿਕਤਾ ਮਿਡਲਵੇਅਰ ਦੇ ਜ਼ਰੀਏ ਹਰੇਕ ਬੇਨਤੀ 'ਤੇ ਲਾਗ-ਇਨ ਯੂਜ਼ਰ ਹੁੰਦਾ ਹੈ।

## ਵਿਊਜ਼ ਦੀ ਸੁਰੱਖਾ ਕਰਨਾ (ਲਾਗਇਨ ਦੀ ਜ਼ਰੂਰਤ)

```python
from django.contrib.auth.decorators import login_required

@login_required                          # redirect to login if not authenticated
def dashboard(request):
    return render(request, "dashboard.html", {"user": request.user})

# for class-based views:
from django.contrib.auth.mixins import LoginRequiredMixin
class DashboardView(LoginRequiredMixin, ListView): ...
```

## ਅਨੁਮਤੀਆਂ ਅਤੇ ਅਧਿਕਾਰ

```python
# checking permissions
request.user.is_authenticated            # is someone logged in?
request.user.is_staff / is_superuser     # role flags
request.user.has_perm("blog.add_article")# a specific permission
request.user.groups.all()                 # group membership (role-based access)

@permission_required("blog.add_article")
def create_article(request): ...
```

Django **ਪ੍ਰਮਾਣਿਕਤਾ** (ਤੁਸੀਂ ਕੌਣ ਹੋ — ਲਾਗਇਨ) ਨੂੰ **ਅਧਿਕਾਰ** (ਤੁਸੀਂ ਕੀ ਕਰ ਸਕਦੇ ਹੋ — ਅਨੁਮਤੀਆਂ) ਤੋਂ ਵੱਖ ਕਰਦਾ ਹੈ। ਇਹ ਪ੍ਰਤੀ-ਮਾਡਲ ਅਨੁਮਤੀਆਂ (add/change/delete/view), ਭੂਮਿਕਾ-ਆਧਾਰਿਤ ਪਹੁੰਚ ਲਈ ਸਮੂਹ, ਅਤੇ ਉਹਨਾਂ ਨੂੰ ਲਾਗੂ ਕਰਨ ਲਈ decorators/mixins ਪ੍ਰਦਾਨ ਕਰਦਾ ਹੈ।

## ਬਿਲਟ-ਇਨ ਪ੍ਰਮਾਣਿਕਤਾ ਵਿਊਜ਼ ਅਤੇ ਕਸਟਮਾਈਜ਼ੇਸ਼ਨ

```text
✓ Ready-made views/URLs for login, logout, password change/reset (django.contrib.auth.urls)
✓ Customizable: a CUSTOM USER MODEL (recommended from the start) to add fields,
  custom backends (e.g. authenticate via email or OAuth), password validators
```

## ਇਹ ਕਿਉਂ ਮਾਇਨੇ ਰੱਖਦਾ ਹੈ

Django ਦਾ ਬਿਲਟ-ਇਨ ਪ੍ਰਮਾਣਿਕਤਾ ਸਿਸਟਮ ਇੱਕ ਮਹੱਤਵਪੂਰਨ, ਸੁਰੱਖਿਆ-ਮਹੱਤਵਪੂਰਨ ਵਿਸ਼ੇਸ਼ਤਾ ਹੈ ਜੋ ਤੁਹਾਨੂੰ ਵੈਬ ਐਪਲੀਕੇਸ਼ਨ ਦੇ ਸਭ ਤੋਂ ਗਲਤੀ-ਪ੍ਰਵਾਨ ਅਤੇ ਖਤਰਨਾਕ ਹਿੱਸਿਆਂ ਵਿੱਚੋਂ ਇੱਕ ਨੂੰ ਬਣਾਉਣ ਤੋਂ ਬਚਾਉਂਦਾ ਹੈ।

ਇਸ ਨੂੰ ਸਮਝਣਾ ਜ਼ਰੂਰੀ ਹੈ ਕਿਉਂਕਿ ਲਗਭਗ ਹਰੀ ਅਸਲ ਐਪਲੀਕੇਸ਼ਨ ਨੂੰ ਉਪਭੋਗਤਾ ਖਾਤਿਆਂ, ਲਾਗਇਨ, ਅਤੇ ਪਹੁੰਚ ਨਿਯੰਤ੍ਰਣ ਦੀ ਲੋੜ ਹੈ — ਅਤੇ ਪ੍ਰਮਾਣਿਕਤਾ ਨੂੰ **ਗਲਤ ਤਰੀਕੇ ਨਾਲ ਲਾਗੂ ਕਰਨਾ ਗੰਭੀਰ ਸੁਰੱਖਿਆ ਕਮਜ਼ੋਰੀਆਂ** (ਪਲੇਨ ਟੈਕਸਟ ਪਾਸਵਰਡ, ਕਮਜ਼ੋਰ ਹੈਸ਼ਿੰਗ, ਸੈਸ਼ਨ ਨੁਕਸਾਨ) ਪੈਦਾ ਕਰਦਾ ਹੈ।

Django ਦਾ ਸਿਸਟਮ ਇਹਨਾਂ ਨੂੰ ਬਾਕਸ ਤੋਂ ਸਹੀ ਤਰੀਕੇ ਨਾਲ ਸੰਭਾਲਦਾ ਹੈ: ਇਹ **ਪਾਸਵਰਡ ਨੂੰ ਸਮਸੋ ਤਰੀਕੇ ਨਾਲ ਹੈਸ਼ ਕਰਦਾ ਹੈ** (ਮਜ਼ਬੂਤ ਐਲਗੋਰਿਦਮ, ਕਦੇ ਪਲੇਨ ਟੈਕਸਟ ਨਹੀਂ — ਤੁਸੀਂ `create_user`/`set_password`/`check_password` ਦੀ ਵਰਤੋਂ ਕਰਦੇ ਹੋ ਪਾਸਵਰਡ ਨੂੰ ਖੁਦ ਸੰਭਾਲਣ ਦੀ ਬਜਾਏ), ਸੈਸ਼ਨ ਅਤੇ ਲਾਗਇਨ ਦਾ ਪ੍ਰਬੰਧ ਕਰਦਾ ਹੈ (`authenticate`/`login`, ਮਿਡਲਵੇਅਰ ਦੇ ਜ਼ਰੀਏ ਹਰ ਜਗ੍ਹਾ `request.user` ਉਪਲਬਧ ਹੈ), ਅਤੇ ਇੱਕ ਮੁਕਮਲ **ਅਨੁਮਤੀਆਂ ਅਤੇ ਸਮੂਹ ਸਿਸਟਮ** ਦੁਆਰਾ ਅਧਿਕਾਰ ਫ਼ਰਾਹਮ ਕਰਦਾ ਹੈ।

ਜਾਣਨਾ ਕਿ ਯੂਜ਼ਰਜ਼ ਨੂੰ ਕਿਵੇਂ ਬਣਾਉਣਾ ਅਤੇ ਪ੍ਰਮਾਣਿਤ ਕਰਨਾ ਹੈ, ਵਿਊਜ਼ ਨੂੰ ਸੁਰੱਖਿਤ ਕਰਨਾ ਹੈ (`@login_required`, `LoginRequiredMixin`), ਅਤੇ **ਅਧਿਕਾਰ** ਨੂੰ ਅਨੁਮਤੀਆਂ ਅਤੇ ਸਮੂਹ ਦੁਆਰਾ ਲਾਗੂ ਕਰਨਾ ਹੈ (ਪ੍ਰਮਾਣਿਕਤਾ — ਤੁਸੀਂ ਕੌਣ ਹੋ — ਨੂੰ ਅਧਿਕਾਰ — ਤੁਸੀਂ ਕੀ ਕਰ ਸਕਦੇ ਹੋ — ਤੋਂ ਵੱਖ ਕਰਨਾ) ਸੁਰੱਖਿਤ ਐਪਲੀਕੇਸ਼ਨਾਂ ਬਣਾਉਣ ਲਈ ਬਨਿਆਦੀ ਹੈ।

ਸਿਸਟਮ ਦੀ ਵਿਸਤਾਰਯੋਗਤਾ — ਖਾਸ ਤੌਰ 'ਤੇ ਇੱਕ **ਕਸਟਮ ਯੂਜ਼ਰ ਮਾਡਲ** (ਪ੍ਰੋਜੈਕਟ ਦੀ ਸ਼ੁਰੁਆਤ ਤੋਂ ਪ੍ਰਬਲਿਤ ਤੌਰ 'ਤੇ ਸਿਫਾਰਸ਼ ਕੀਤਾ) ਦੀ ਖੇਤਰ ਜੋੜਨ ਲਈ, ਅਤੇ ਈਮੇਲ/OAuth ਲਾਗਇਨ ਲਈ ਕਸਟਮ ਬੈਕਐਂਡ — ਮਹੱਤਵਪੂਰਨ ਅਮਲੀ ਜਾਨਕਾਰੀ ਹੈ।

ਕਿਉਂਕਿ ਪ੍ਰਮਾਣਿਕਤਾ ਦੋਵੇਂ ਸਰਵਵਿਆਪੀ ਅਤੇ ਸੁਰੱਖਿਆ-ਮਹੱਤਵਪੂਰਨ ਹੈ, ਅਤੇ ਕਿਉਂਕਿ Django ਇੱਕ ਮਜ਼ਬੂਤ, ਸਹੀ, batteries-included ਹੱਲ ਫ਼ਰਾਹਮ ਕਰਦਾ ਹੈ, ਇਸ ਦੀ auth ਸਿਸਟਮ ਨੂੰ ਮਾਸਟਰ ਕਰਨਾ ਮੁੱਖ ਜਾਨਕਾਰੀ ਹੈ ਜੋ ਤੁਹਾਨੂੰ ਇਸ ਬਨਿਆਦੀ ਕਾਰਜਸ਼ੀਲਤਾ ਨੂੰ ਦੁਬਾਰਾ ਕਥਾ (ਅਤੇ ਜੋਖਮ ਵਿੱਚ) ਖੁਦ ਬਣਾਇਆ ਬਿਨਾਂ ਸੁਰੱਖਿਤ ਯੂਜ਼ਰ-ਫੇਸ ਐਪਲੀਕੇਸ਼ਨਾਂ ਬਣਾਉਣ ਦੀ ਇਜਾਜ਼ਤ ਦਿੰਦਾ ਹੈ।