Django përfshin një sistem të plotë dhe të integruar autentifikimi (django.contrib.auth) që menaxhon përdoruesit, fjalëkalimët, sesionet/login-in, dhe përmasat — një tjetër feature "batteries-included" që ju shpëton nga ndërtimi (dhe gabimi) i kësaj funksionaliteti kritik sigurie.
from django.contrib.auth.models import User
# passwords are HASHED automatically — never store plaintext
user = User.objects.create_user(username="ann", email="[email protected]", password="secret")
user.set_password("newpassword") # always use set_password (it hashes)
user.check_password("secret") # verify a password (constant-time)
Modeli i integruar User menaxhon hash-imin e fjalëkalimit automatikisht (duke përdorur algoritme të forta si PBKDF2) — ju asnjëherë nuk ruani ose krahasoni fjalëkalime të qarta teksti, duke eliminuar një rrezik kryesor sigurie.
from django.contrib.auth import authenticate, login, logout
def login_view(request):
user = authenticate(request, username=username, password=password) # verify credentials
if user is not None:
login(request, user) # establish a SESSION (sets request.user)
return redirect("home")
# else: invalid credentials
def logout_view(request):
logout(request) # clear the session
authenticate() verifikon kredencialet, dhe login() vendos një sesion — pas së cilës request.user është përdoruesi i kyçur në çdo kërkesë (nëpërmjet middleware-it të autentifikimit).
from django.contrib.auth.decorators import login_required
@login_required # redirect to login if not authenticated
def dashboard(request):
return render(request, "dashboard.html", {"user": request.user})
# for class-based views:
from django.contrib.auth.mixins import LoginRequiredMixin
class DashboardView(LoginRequiredMixin, ListView): ...
# checking permissions
request.user.is_authenticated # is someone logged in?
request.user.is_staff / is_superuser # role flags
request.user.has_perm("blog.add_article")# a specific permission
request.user.groups.all() # group membership (role-based access)
@permission_required("blog.add_article")
def create_article(request): ...
Django dallob autentifikimi (kush jeni ju — login) nga autorizimi (çfarë mund të bëni — përmasat). Ai ofron përmasat për model (add/change/delete/view), grupe për aksesin e bazuar në rol, dhe dekoratorë/mixine për t'i zbatuar ato.
✓ Ready-made views/URLs for login, logout, password change/reset (django.contrib.auth.urls)
✓ Customizable: a CUSTOM USER MODEL (recommended from the start) to add fields,
custom backends (e.g. authenticate via email or OAuth), password validators
Sistemi i autentifikimit i integruar në Django është një feature kryesor dhe kritik për sigurinë që ju shpëton nga ndërtimi i njërës prej pjesëve më të ndjeshme ndaj gabimeve dhe më të rrezikshme të një aplikacioni web.
E kuptimi i tij është esencial sepse pothuajse çdo aplikacion i vërtetë ka nevojë për llogari përdoruesish, login, dhe kontroll të aksesit — dhe marrja e autentifikimit në mënyrë të gabuar krijon vunearabilitete të rëndësishme sigurie (fjalëkalime të qarta teksti, hash-im i dobët, defekte sesioni).
Sistemi i Django-s përballeni këto në mënyrë të saktë menjëherë: hash-imin e fjalëkalimeve në mënyrë të sigurt (algoritme të forta, asnjëherë tekst i qartë — ju përdorni create_user/set_password/check_password në vend që të menaxhoni fjalëkalimene manualisht), menaxhon sesionet dhe login-in (authenticate/login, me request.user të disponueshme kudo nëpërmjet middleware), dhe ofron autorizim nëpërmjet një sistemi të plotë përmasash dhe grupesh.
Dija se si të krijoni dhe autentifikoni përdoruesit, të mbrojnë view-vet (@login_required, LoginRequiredMixin), dhe të zbatoni autorizim nëpërmjet përmasash dhe grupesh (duke dalluar autentifikim — kush jeni — nga autorizim — çfarë lejohet të bëni) është themelore për ndërtimin e aplikacioneve të sigurt.
Zgjedhshmëria e sistemit — në veçanti duke përdorur një model përdoruesi të personalizuar (rekomandohet fuqimisht nga fillimi i projektit) për të shtuar fusha, dhe backend-e të personalizuar për email/OAuth login — është njohurie praktike e rëndësishme.
Sepse autentifikimi është i përhapur dhe kritik për sigurinë, dhe sepse Django ofron një zgjidhje të fortë, të saktë dhe "batteries-included", zotërimi i sistemit të autentifikimit të tij është njohuri bazë që ju lejon të ndërtoni aplikacione të sigurta me përballë përdoruesve pa ri-shpikur (dhe rrezikuar) këtë funksionalitet themelor.