Django zawiera kompletny, wbudowany system autentykacji (django.contrib.auth) obsługujący użytkowników, hasła, sesje/logowanie i uprawnienia — kolejna funkcja "baterii w zestawie", która oszczędza Ci budowania (i robienia źle) tej krytycznej dla bezpieczeństwa funkcjonalności.
from django.contrib.auth.models import User
# passwords are HASHED automatically — never store plaintext
user = User.objects.create_user(username="ann", email="[email protected]", password="secret")
user.set_password("newpassword") # always use set_password (it hashes)
user.check_password("secret") # verify a password (constant-time)
Wbudowany model User obsługuje bezpieczne hashowanie haseł automatycznie (używając silnych algorytmów takich jak PBKDF2) — nigdy nie przechowujesz ani nie porównujesz haseł w czystym tekście, eliminując poważne zagrożenie bezpieczeństwa.
from django.contrib.auth import authenticate, login, logout
def login_view(request):
user = authenticate(request, username=username, password=password) # verify credentials
if user is not None:
login(request, user) # establish a SESSION (sets request.user)
return redirect("home")
# else: invalid credentials
def logout_view(request):
logout(request) # clear the session
authenticate() weryfikuje poświadczenia, a login() ustanawia sesję — po czym request.user jest zalogowanym użytkownikiem na każdym żądaniu (poprzez middleware autentykacji).
from django.contrib.auth.decorators import login_required
@login_required # redirect to login if not authenticated
def dashboard(request):
return render(request, "dashboard.html", {"user": request.user})
# for class-based views:
from django.contrib.auth.mixins import LoginRequiredMixin
class DashboardView(LoginRequiredMixin, ListView): ...
# checking permissions
request.user.is_authenticated # is someone logged in?
request.user.is_staff / is_superuser # role flags
request.user.has_perm("blog.add_article")# a specific permission
request.user.groups.all() # group membership (role-based access)
@permission_required("blog.add_article")
def create_article(request): ...
Django rozróżnia autentykację (kim jesteś — logowanie) od autoryzacji (co możesz robić — uprawnienia). Zapewnia uprawnienia na poziomie modelu (dodawanie/zmiana/usuwanie/przeglądanie), grupy do dostępu opartego na rolach oraz dekoratory/mixiny do ich wymuszania.
✓ Ready-made views/URLs for login, logout, password change/reset (django.contrib.auth.urls)
✓ Customizable: a CUSTOM USER MODEL (recommended from the start) to add fields,
custom backends (e.g. authenticate via email or OAuth), password validators
Wbudowany system autentykacji Django to główna, krytyczna dla bezpieczeństwa funkcja, która oszczędza Ci budowania jednej z najbardziej podatnych na błędy i niebezpiecznych części aplikacji webowej.
Rozumienie go jest niezbędne, ponieważ prawie każda rzeczywista aplikacja potrzebuje kont użytkowników, logowania i kontroli dostępu — a błędy w autentykacji powodują poważne luki bezpieczeństwa (hasła w czystym tekście, słabe hashowanie, wady sesji).
System Django obsługuje to prawidłowo od razu: hashuje hasła bezpiecznie (silne algorytmy, nigdy czysty tekst — używasz create_user/set_password/check_password zamiast ręcznej obsługi haseł), zarządza sesjami i logowaniem (authenticate/login, z request.user dostępnym wszędzie poprzez middleware) oraz zapewnia autoryzację poprzez kompletny system uprawnień i grup.
Wiedza o tym, jak tworzyć i autentykować użytkowników, chronić widoki (@login_required, LoginRequiredMixin) oraz egzekwować autoryzację poprzez uprawnienia i grupy (rozróżniając autentykację — kim jesteś — od autoryzacji — co możesz robić) jest fundamentalna do budowania bezpiecznych aplikacji.
Rozszczalność systemu — szczególnie używanie niestandardowego modelu użytkownika (zdecydowanie rekomendowane od początku projektu) do dodawania pól oraz niestandardowych backendów do logowania przez email/OAuth — jest ważną wiedzą praktyczną.
Ponieważ autentykacja jest zarówno wszechobecna, jak i krytyczna dla bezpieczeństwa, a Django zapewnia solidne, prawidłowe, wbudowane rozwiązanie, opanowanie jego systemu auth to podstawowa wiedza, która pozwala Ci budować bezpieczne aplikacje dla użytkowników bez wymyślania (i ryzyka) tej fundamentalnej funkcjonalności.