Django vključuje popoln, vgrajen sistem avtentifikacije (django.contrib.auth), ki upravlja uporabnike, gesla, seje/prijavo in dovoljenja — še ena od "baterij-vključenih" funkcionalnosti, ki vas varčuje pred gradnjo (in napačnim implementiranjem) te varnostno kritične funkcionalnosti.
from django.contrib.auth.models import User
# passwords are HASHED automatically — never store plaintext
user = User.objects.create_user(username="ann", email="[email protected]", password="secret")
user.set_password("newpassword") # always use set_password (it hashes)
user.check_password("secret") # verify a password (constant-time)
Vgrajeni model User avtomatično upravlja varno heširanjem gesel (z uporabo močnih algoritmov, kot je PBKDF2) — nikoli ne shranjujete ali primerjate gesel v ločljivem besedilu, kar izključuje večjo varnostno tveganje.
from django.contrib.auth import authenticate, login, logout
def login_view(request):
user = authenticate(request, username=username, password=password) # verify credentials
if user is not None:
login(request, user) # establish a SESSION (sets request.user)
return redirect("home")
# else: invalid credentials
def logout_view(request):
logout(request) # clear the session
authenticate() preveri poverilnice, login() pa vzpostavi sejo — nato je request.user prijavljeni uporabnik na vsakem zahtevku (preko avtentifikacijskega vmesnika).
from django.contrib.auth.decorators import login_required
@login_required # redirect to login if not authenticated
def dashboard(request):
return render(request, "dashboard.html", {"user": request.user})
# for class-based views:
from django.contrib.auth.mixins import LoginRequiredMixin
class DashboardView(LoginRequiredMixin, ListView): ...
# checking permissions
request.user.is_authenticated # is someone logged in?
request.user.is_staff / is_superuser # role flags
request.user.has_perm("blog.add_article")# a specific permission
request.user.groups.all() # group membership (role-based access)
@permission_required("blog.add_article")
def create_article(request): ...
Django razlikuje avtentifikacijo (kdo si — prijava) od avtorizacije (kaj lahko narediš — dovoljenja). Nudi dovoljenja na ravni modela (dodaj/spremeni/izbriši/poglej), skupine za dostop na osnovi vloge in dekoratoije/mešine za njihovo uveljavljanje.
✓ Ready-made views/URLs for login, logout, password change/reset (django.contrib.auth.urls)
✓ Customizable: a CUSTOM USER MODEL (recommended from the start) to add fields,
custom backends (e.g. authenticate via email or OAuth), password validators
Vgrajeni sistem avtentifikacije v Djangu je glavna, varnostno kritična funkcionalnost, ki vas varčuje pred gradnjo enega najbolj napačno izvedenih in nevarnih delov spletne aplikacije. /).je razumevanje bistveno, ker skoraj vsaka resna aplikacija potrebuje uporabniške račune, prijavo in nadzor dostopa — in napačna avtentifikacija ustvarja resne varnostne ranljivosti (gesla v ločljivem besedilu, šibko heširanje, pomanjkljivosti v sejah).
Sistem Djangoa te stvari ravna pravilno že iz škatle: varno heširani gesla (močni algoritmi, nikoli ločljivo besedilo — uporabljate create_user/set_password/check_password namesto ročnega upravljanja gesel), upravlja seje in prijavo (authenticate/login, z request.user dostopnim povsod preko vmesnika) in nudi avtorizacijo preko popolnega sistema dovoljenj in skupin.
Znanje, kako ustvariti in avtenticirati uporabnike, zaščititi poglede (@login_required, LoginRequiredMixin) in uveljavljati avtorizacijo preko dovoljenj in skupin (razlikovanje avtentifikacije — kdo si — od avtorizacije — kaj smeš narediti) je temeljno za gradnjo varnih aplikacij.
Razsežnost sistema — posebej uporaba prilagojenega modela User (močno priporočljivo od začetka projekta) za dodajanje polj in prilagojenih vmesnikov za prijavo preko e-pošte/OAuth — je pomembno praktično znanje.
Ker je avtentifikacija hkrati vseprisotna in varnostno kritična, ter ker Django nudi robustno, pravilno, baterij-vključeno rešitev, obvladovanje njegovega sistema avtentifikacije je temeljno znanje, ki vam omogoči gradnjo varnih aplikacij usmerjenih na uporabnike brez iznajdovanja (in tveganja) te temeljne funkcionalnosti.