Django inclui um sistema de autenticação completo e integrado (django.contrib.auth) que lida com usuários, senhas, sessões/login e permissões — outra funcionalidade "batteries-included" que economiza seu tempo ao evitar implementar (e errar) essa funcionalidade crítica de segurança.
from django.contrib.auth.models import User
# passwords are HASHED automatically — never store plaintext
user = User.objects.create_user(username="ann", email="[email protected]", password="secret")
user.set_password("newpassword") # always use set_password (it hashes)
user.check_password("secret") # verify a password (constant-time)
O modelo User integrado lida com hash de senha seguro automaticamente (usando algoritmos fortes como PBKDF2) — você nunca armazena ou compara senhas em texto plano, eliminando um risco de segurança importante.
from django.contrib.auth import authenticate, login, logout
def login_view(request):
user = authenticate(request, username=username, password=password) # verify credentials
if user is not None:
login(request, user) # establish a SESSION (sets request.user)
return redirect("home")
# else: invalid credentials
def logout_view(request):
logout(request) # clear the session
authenticate() verifica as credenciais, e login() estabelece uma sessão — depois disso request.user é o usuário logado em toda requisição (via o middleware de autenticação).
from django.contrib.auth.decorators import login_required
@login_required # redirect to login if not authenticated
def dashboard(request):
return render(request, "dashboard.html", {"user": request.user})
# for class-based views:
from django.contrib.auth.mixins import LoginRequiredMixin
class DashboardView(LoginRequiredMixin, ListView): ...
# checking permissions
request.user.is_authenticated # is someone logged in?
request.user.is_staff / is_superuser # role flags
request.user.has_perm("blog.add_article")# a specific permission
request.user.groups.all() # group membership (role-based access)
@permission_required("blog.add_article")
def create_article(request): ...
Django distingue autenticação (quem você é — login) de autorização (o que você pode fazer — permissões). Ele fornece permissões por-modelo (add/change/delete/view), grupos para controle de acesso baseado em papéis, e decoradores/mixins para aplicá-las.
✓ Ready-made views/URLs for login, logout, password change/reset (django.contrib.auth.urls)
✓ Customizable: a CUSTOM USER MODEL (recommended from the start) to add fields,
custom backends (e.g. authenticate via email or OAuth), password validators
O sistema de autenticação integrado do Django é uma funcionalidade importante e crítica de segurança que economiza seu tempo ao evitar implementar uma das partes mais propensas a erros e perigosas de uma aplicação web. /Entender-lo é essencial porque praticamente toda aplicação real precisa de contas de usuário, login e controle de acesso — e fazer autenticação errada cria vulnerabilidades de segurança sérias (senhas em texto plano, hash fraco, falhas de sessão).
O sistema do Django lida com isso corretamente pronto para usar: ele faz hash de senhas com segurança (algoritmos fortes, nunca texto plano — você usa create_user/set_password/check_password em vez de lidar com senhas manualmente), gerencia sessões e login (authenticate/login, com request.user disponível em qualquer lugar via middleware), e fornece autorização através de um sistema completo de permissões e grupos.
Saber como criar e autenticar usuários, proteger views (@login_required, LoginRequiredMixin), e aplicar autorização via permissões e grupos (distinguindo autenticação — quem você é — de autorização — o que você tem permissão de fazer) é fundamental para construir aplicações seguras.
A extensibilidade do sistema — especialmente usar um modelo de usuário customizado (fortemente recomendado desde o início do projeto) para adicionar campos, e backends customizados para login por email/OAuth — é um conhecimento prático importante.
Porque autenticação é tanto onipresente quanto crítica de segurança, e porque Django fornece uma solução robusta, correta e batteries-included, dominar seu sistema de auth é conhecimento essencial que permite você construir aplicações seguras voltadas ao usuário sem reinventar (e arriscar) essa funcionalidade fundamental.