Django, users, passwords, sessions/login ve permissions'ı (izinleri) işleyen eksiksiz, yerleşik bir authentication system (django.contrib.auth) içerir — bu güvenlik açısından kritik olan işlevselliği sıfırdan inşa etmekten (ve yanlış yapmaktan) sizi koruyan bir "batteries-included" özelliğidir.
from django.contrib.auth.models import User
# passwords are HASHED automatically — never store plaintext
user = User.objects.create_user(username="ann", email="[email protected]", password="secret")
user.set_password("newpassword") # always use set_password (it hashes)
user.check_password("secret") # verify a password (constant-time)
Yerleşik User modeli, güvenli password hashing'i otomatik olarak işler (PBKDF2 gibi güçlü algoritmalar kullanır) — hiçbir zaman plaintext şifreleri saklayıp karşılaştırmazsınız, bu da büyük bir güvenlik riskini ortadan kaldırır.
from django.contrib.auth import authenticate, login, logout
def login_view(request):
user = authenticate(request, username=username, password=password) # verify credentials
if user is not None:
login(request, user) # establish a SESSION (sets request.user)
return redirect("home")
# else: invalid credentials
def logout_view(request):
logout(request) # clear the session
authenticate() kimlik bilgilerini doğrular ve login() oturum kurar — bundan sonra request.user, her istekte oturum açmış kullanıcı olur (authentication middleware aracılığıyla).
from django.contrib.auth.decorators import login_required
@login_required # redirect to login if not authenticated
def dashboard(request):
return render(request, "dashboard.html", {"user": request.user})
# for class-based views:
from django.contrib.auth.mixins import LoginRequiredMixin
class DashboardView(LoginRequiredMixin, ListView): ...
# checking permissions
request.user.is_authenticated # is someone logged in?
request.user.is_staff / is_superuser # role flags
request.user.has_perm("blog.add_article")# a specific permission
request.user.groups.all() # group membership (role-based access)
@permission_required("blog.add_article")
def create_article(request): ...
Django authentication (siz kimsiniz — oturum açma) ile authorization (ne yapabilirsiniz — izinler) arasında ayrım yapar. Model başına izinler (add/change/delete/view), rol tabanlı erişim için gruplar ve bunları uygulamak için decorators/mixins sağlar.
✓ Ready-made views/URLs for login, logout, password change/reset (django.contrib.auth.urls)
✓ Customizable: a CUSTOM USER MODEL (recommended from the start) to add fields,
custom backends (e.g. authenticate via email or OAuth), password validators
Django'nun yerleşik authentication sistemi, bir web uygulamasının en hata yapılması ve tehlikeli kısımlarından birini sıfırdan inşa etmekten sizi koruyan, büyük ve güvenlik açısından kritik bir özelliktir.
Bunu anlamak gereklidir çünkü neredeyse her gerçek uygulamanın kullanıcı hesapları, oturum açma ve erişim kontrolü gerekir — ve authentication'ı yanlış yapmak ciddi güvenlik açıklarına neden olur (plaintext şifreler, zayıf hashing, oturum kusurları).
Django'nun sistemi bunları kutu üstünde doğru şekilde işler: şifreleri güvenli bir şekilde hashler (güçlü algoritmalar, hiçbir zaman plaintext — şifreleri manuel olarak işlemek yerine create_user/set_password/check_password kullanırsınız), oturum açma ve oturumları yönetir (authenticate/login, middleware aracılığıyla request.user her yerde kullanılabilir) ve eksiksiz bir permissions ve groups sistemi aracılığıyla yetkilendirme sağlar.
Kullanıcı oluşturma ve kimlik doğrulama, görünümleri koruma (@login_required, LoginRequiredMixin) ve izinler ile gruplar (authentication — siz kimsiniz — ile authorization — ne yapmanıza izin verilir — arasında ayrım yapma) aracılığıyla authorization'ı uygulamayı bilmek, güvenli uygulamalar oluşturmak için temeldir.
Sistemin genişletilebilirliği — özellikle alanlar eklemek için custom user model (projenin başından itibaren kesinlikle önerilir) kullanmak ve email/OAuth oturum açma için custom backends — önemli pratik bilgidir.
Authentication hem her yerde kullanılan hem de güvenlik açısından kritik olduğu ve Django sağlam, doğru, batteries-included bir çözüm sağladığı için, auth sisteminde uzmanlaşmak, bu temel işlevselliği yeniden icat etme (ve riske atma) riski olmadan güvenli kullanıcı yönelimli uygulamalar inşa etmenize izin veren temel bilgidir.