Django включает полноценную встроенную систему аутентификации (django.contrib.auth), обрабатывающую пользователей, пароли, сессии/вход и права доступа — еще одну функцию "батареек в комплекте", которая избавляет вас от необходимости разработки (и ошибок в реализации) этого критичного для безопасности функционала.
from django.contrib.auth.models import User
# passwords are HASHED automatically — never store plaintext
user = User.objects.create_user(username="ann", email="[email protected]", password="secret")
user.set_password("newpassword") # always use set_password (it hashes)
user.check_password("secret") # verify a password (constant-time)
Встроенная модель User автоматически обрабатывает безопасное хеширование паролей (используя надежные алгоритмы, такие как PBKDF2) — вы никогда не сохраняете и не сравниваете пароли в открытом виде, что устраняет серьезный риск безопасности.
from django.contrib.auth import authenticate, login, logout
def login_view(request):
user = authenticate(request, username=username, password=password) # verify credentials
if user is not None:
login(request, user) # establish a SESSION (sets request.user)
return redirect("home")
# else: invalid credentials
def logout_view(request):
logout(request) # clear the session
authenticate() проверяет учетные данные, а login() устанавливает сессию — после чего request.user является вошедшим пользователем при каждом запросе (через middleware аутентификации).
from django.contrib.auth.decorators import login_required
@login_required # redirect to login if not authenticated
def dashboard(request):
return render(request, "dashboard.html", {"user": request.user})
# for class-based views:
from django.contrib.auth.mixins import LoginRequiredMixin
class DashboardView(LoginRequiredMixin, ListView): ...
# checking permissions
request.user.is_authenticated # is someone logged in?
request.user.is_staff / is_superuser # role flags
request.user.has_perm("blog.add_article")# a specific permission
request.user.groups.all() # group membership (role-based access)
@permission_required("blog.add_article")
def create_article(request): ...
Django различает аутентификацию (кто вы такой — вход) и авторизацию (что вы можете делать — права доступа). Она предоставляет права на уровне модели (add/change/delete/view), группы для ролевого доступа, а также декораторы и миксины для их применения.
✓ Ready-made views/URLs for login, logout, password change/reset (django.contrib.auth.urls)
✓ Customizable: a CUSTOM USER MODEL (recommended from the start) to add fields,
custom backends (e.g. authenticate via email or OAuth), password validators
Встроенная система аутентификации Django — это основной функционал, критичный для безопасности, который избавляет вас от необходимости разработки одной из наиболее подверженных ошибкам и опасных частей веб-приложения.
Понимание этого необходимо, потому что почти каждое реальное приложение нуждается в учетных записях пользователей, входе и контроле доступа — и неправильная реализация аутентификации создает серьезные уязвимости безопасности (пароли в открытом виде, слабое хеширование, проблемы с сессиями).
Система Django обрабатывает это правильно прямо из коробки: она безопасно хеширует пароли (надежные алгоритмы, никогда не в открытом виде — вы используете create_user/set_password/check_password вместо ручного управления паролями), управляет сессиями и входом (authenticate/login, с request.user, доступным везде через middleware), и предоставляет авторизацию через полноценную систему прав доступа и групп.
Знание того, как создавать и аутентифицировать пользователей, защищать представления (@login_required, LoginRequiredMixin) и применять авторизацию через права доступа и группы (различая аутентификацию — кто вы такой — и авторизацию — что вы можете делать) является фундаментальным для разработки безопасных приложений.
Расширяемость системы — особенно использование пользовательской модели пользователя (настоятельно рекомендуется с начала проекта) для добавления полей и пользовательских backends для входа через email/OAuth — это важное практическое знание.
Потому что аутентификация одновременно вездесуща и критична для безопасности, а Django предоставляет мощное, корректное, готовое к использованию решение, овладение системой аутентификации является базовым знанием, которое позволяет вам разрабатывать безопасные приложения, ориентированные на пользователя, без необходимости переизобретения (и риска ошибок) этого фундаментального функционала.