Django innehåller ett komplett, inbyggt autentiseringssystem (django.contrib.auth) som hanterar användare, lösenord, sessioner/inloggning och behörigheter — ännu en "batteries-included"-funktion som sparar dig från att bygga (och få fel på) denna säkerhetskritiska funktionalitet.
from django.contrib.auth.models import User
# passwords are HASHED automatically — never store plaintext
user = User.objects.create_user(username="ann", email="[email protected]", password="secret")
user.set_password("newpassword") # always use set_password (it hashes)
user.check_password("secret") # verify a password (constant-time)
Den inbyggda User-modellen hanterar säker lösenordshashing automatiskt (med starka algoritmer som PBKDF2) — du lagrar eller jämför aldrig lösenord i klartext, vilket eliminerar en stor säkerhetskris.
from django.contrib.auth import authenticate, login, logout
def login_view(request):
user = authenticate(request, username=username, password=password) # verify credentials
if user is not None:
login(request, user) # establish a SESSION (sets request.user)
return redirect("home")
# else: invalid credentials
def logout_view(request):
logout(request) # clear the session
authenticate() verifierar autentiseringsuppgifter, och login() etablerar en session — efter vilket request.user är den inloggade användaren på varje begäran (via autentiseringsmellantjänsten).
from django.contrib.auth.decorators import login_required
@login_required # redirect to login if not authenticated
def dashboard(request):
return render(request, "dashboard.html", {"user": request.user})
# for class-based views:
from django.contrib.auth.mixins import LoginRequiredMixin
class DashboardView(LoginRequiredMixin, ListView): ...
# checking permissions
request.user.is_authenticated # is someone logged in?
request.user.is_staff / is_superuser # role flags
request.user.has_perm("blog.add_article")# a specific permission
request.user.groups.all() # group membership (role-based access)
@permission_required("blog.add_article")
def create_article(request): ...
Django skiljer mellan autentisering (vem du är — inloggning) och auktorisering (vad du kan göra — behörigheter). Det tillhandahåller behörigheter per modell (lägg till/ändra/ta bort/visa), grupper för rollbaserad åtkomst och dekoratörer/mixiner för att tillämpa dem.
✓ Ready-made views/URLs for login, logout, password change/reset (django.contrib.auth.urls)
✓ Customizable: a CUSTOM USER MODEL (recommended from the start) to add fields,
custom backends (e.g. authenticate via email or OAuth), password validators
Djangos inbyggda autentiseringssystem är en stor, säkerhetskritisk funktion som sparar dig från att bygga en av de mest felbenägna och farliga delarna av en webbapplikation själv.
Att förstå det är väsentligt eftersom nästan varje verklig applikation behöver användarkonton, inloggning och åtkomstkontroll — och att få autentisering fel skapar allvarliga säkerhetsproblem (lösenord i klartext, svag hashing, sessionfel).
Djangos system hanterar dessa korrekt direkt från lådan: det hashar lösenord säkert (starka algoritmer, aldrig klartext — du använder create_user/set_password/check_password snarare än att hantera lösenord manuellt), hanterar sessioner och inloggning (authenticate/login, med request.user tillgänglig överallt via mellantjänsten), och tillhandahåller auktorisering genom ett komplett behörighets- och gruppersystem.
Att veta hur man skapar och autentiserar användare, skyddar vyer (@login_required, LoginRequiredMixin) och tillämpar auktorisering via behörigheter och grupper (skiljer mellan autentisering — vem du är — och auktorisering — vad du får göra) är grundläggande för att bygga säkra applikationer.
Systemets utökningsbarhet — särskilt med hjälp av en anpassad användarmodell (starkt rekommenderat från projektets start) för att lägga till fält, och anpassade backends för e-post/OAuth-inloggning — är viktig praktisk kunskap.
Därför att autentisering är både överallt förekommande och säkerhetskritisk, och därför att Django tillhandahåller en robust, korrekt, batteries-included-lösning, är det grundläggande kunskap att behärska autentiseringssystemet så att du kan bygga säkra användarinriktade applikationer utan att återuppfinna (och riskera) denna grundläggande funktionalitet.