Django include un sistem de autentificare complet și încorporat (django.contrib.auth) care gestionează utilizatori, parole, sesiuni/login și permisiuni — încă o caracteristică "batteries-included" care te scutește de construirea (și greșirea) acestei funcționalități critic de securitate.
django.contrib.auth.models User
user = User.objects.create_user(username=, email=, password=)
user.set_password()
user.check_password()
Modelul User încorporat gestionează hashing-ul parolelor în mod automat (folosind algoritmi puternici cum ar fi PBKDF2) — nu stochezi și nici nu compari parole în text clar, eliminând un risc major de securitate.
from django.contrib.auth import authenticate, login, logout
def login_view(request):
user = authenticate(request, username=username, password=password) # verify credentials
if user is not None:
login(request, user) # establish a SESSION (sets request.user)
return redirect("home")
# else: invalid credentials
def logout_view(request):
logout(request) # clear the session
authenticate() verifică acreditările, iar login() stabilește o sesiune — după care request.user este utilizatorul autentificat la fiecare cerere (prin middleware-ul de autentificare).
from django.contrib.auth.decorators import login_required
@login_required # redirect to login if not authenticated
def dashboard(request):
return render(request, "dashboard.html", {"user": request.user})
# for class-based views:
from django.contrib.auth.mixins import LoginRequiredMixin
class DashboardView(LoginRequiredMixin, ListView): ...
# checking permissions
request.user.is_authenticated # is someone logged in?
request.user.is_staff / is_superuser # role flags
request.user.has_perm("blog.add_article")# a specific permission
request.user.groups.all() # group membership (role-based access)
@permission_required("blog.add_article")
def create_article(request): ...
Django diferențiază autentificare (cine ești — login) de autorizare (ce poți face — permisiuni). Oferă permisiuni per-model (add/change/delete/view), grupuri pentru control de acces bazat pe rol, și decoratori/mixins pentru a le impune.
✓ Ready-made views/URLs for login, logout, password change/reset (django.contrib.auth.urls)
✓ Customizable: a CUSTOM USER MODEL (recommended from the start) to add fields,
custom backends (e.g. authenticate via email or OAuth), password validators
Sistemul de autentificare încorporat al Django este o caracteristică majoră și critic de securitate care te scutește de construirea uneia dintre cele mai predispuse la erori și periculoase părți ale unei aplicații web.
Înțelegerea lui este esențială deoarece aproape fiecare aplicație reală are nevoie de conturi de utilizatori, login și control de acces — iar greșirea autentificării creează vulnerabilități de securitate grave (parole în text clar, hashing slab, defecte în sesiuni).
Sistemul Django gestionează acestea corect din start: hashing-ul parolelor în mod securizat (algoritmi puternici, niciodată în text clar — folosești create_user/set_password/check_password în loc să gestionezi parolele manual), gestionează sesiuni și login (authenticate/login, cu request.user disponibil peste tot prin middleware), și oferă autorizare prin intermediul unui sistem complet de permisiuni și grupuri.
Cunoscând cum să creezi și autentifici utilizatori, să protejezi view-urile (@login_required, LoginRequiredMixin), și să impui autorizare prin permisiuni și grupuri (diferențiind autentificare — cine ești — de autorizare — ce ai voie să faci) este fundamental pentru construirea aplicațiilor securizate.
Extensibilitatea sistemului — în special folosirea unui model de utilizator personalizat (foarte recomandat din începutul proiectului) pentru a adăuga câmpuri, și backend-uri personalizate pentru login prin email/OAuth — este cunoaștere practică importantă.
Fiind că autentificarea este atât omniprezentă cât și critic de securitate, și pentru că Django oferă o soluție robustă, corectă și batteries-included, stăpânirea sistemului auth al Django este cunoaștere de bază care te permite să construiești aplicații securizate cu interfață cu utilizatorul fără a reinventa (și a risipi) această funcționalitate fundamentală.