Hệ thống xác thực của Django hoạt động như thế nào?

Question

Accepted Answer

Django bao gồm một **hệ thống xác thực** đầy đủ, tích hợp sẵn (`django.contrib.auth`) xử lý **user**, **mật khẩu**, **session/đăng nhập**, và **quyền** — một tính năng "batteries-included" khác giúp bạn khỏi phải xây dựng (và làm sai) chức năng quan trọng về bảo mật này.

## Model User và tạo user

```python
from django.contrib.auth.models import User

# mật khẩu được BĂM tự động — không bao giờ lưu plaintext
user = User.objects.create_user(username="ann", email="a@x.com", password="secret")
user.set_password("newpassword")        # luôn dùng set_password (nó băm)
user.check_password("secret")            # xác minh một mật khẩu (thời gian hằng số)
```

Model `User` tích hợp xử lý **băm mật khẩu** an toàn tự động (dùng các thuật toán mạnh như PBKDF2) — bạn không bao giờ lưu hoặc so sánh mật khẩu plaintext, loại bỏ một rủi ro bảo mật lớn.

## Xác thực và đăng nhập

```python
from django.contrib.auth import authenticate, login, logout

def login_view(request):
    user = authenticate(request, username=username, password=password)  # xác minh thông tin đăng nhập
    if user is not None:
        login(request, user)             # thiết lập một SESSION (đặt request.user)
        return redirect("home")
    # nếu không: thông tin đăng nhập không hợp lệ

def logout_view(request):
    logout(request)                       # xóa session
```

`authenticate()` xác minh thông tin đăng nhập, và `login()` thiết lập một session — sau đó `request.user` là user đã đăng nhập trên mọi request (qua middleware xác thực).

## Bảo vệ view (yêu cầu đăng nhập)

```python
from django.contrib.auth.decorators import login_required

@login_required                          # redirect tới login nếu chưa xác thực
def dashboard(request):
    return render(request, "dashboard.html", {"user": request.user})

# cho class-based view:
from django.contrib.auth.mixins import LoginRequiredMixin
class DashboardView(LoginRequiredMixin, ListView): ...
```

## Quyền và phân quyền

```python
# kiểm tra quyền
request.user.is_authenticated            # có ai đó đã đăng nhập không?
request.user.is_staff / is_superuser     # cờ vai trò
request.user.has_perm("blog.add_article")# một quyền cụ thể
request.user.groups.all()                 # thành viên nhóm (truy cập theo vai trò)

@permission_required("blog.add_article")
def create_article(request): ...
```

Django phân biệt **xác thực** (bạn là ai — đăng nhập) với **phân quyền** (bạn được làm gì — quyền). Nó cung cấp quyền theo từng model (add/change/delete/view), nhóm cho truy cập theo vai trò, và decorator/mixin để áp đặt chúng.

## View xác thực tích hợp và tùy biến

```text
✓ View/URL sẵn có cho login, logout, đổi/đặt lại mật khẩu (django.contrib.auth.urls)
✓ Có thể tùy biến: một CUSTOM USER MODEL (khuyến nghị ngay từ đầu) để thêm field,
  backend tùy biến (vd: xác thực qua email hoặc OAuth), trình validate mật khẩu
```

## Tại sao điều này quan trọng

Hệ thống xác thực tích hợp của Django là một tính năng lớn, quan trọng về bảo mật giúp bạn khỏi phải tự xây dựng một trong những phần dễ lỗi và nguy hiểm nhất của một ứng dụng web.

Hiểu nó là thiết yếu vì gần như mọi ứng dụng thực đều cần tài khoản người dùng, đăng nhập, và kiểm soát truy cập — và làm xác thực **sai tạo ra lỗ hổng bảo mật nghiêm trọng** (mật khẩu plaintext, băm yếu, lỗi session).

Hệ thống của Django xử lý đúng những điều này ngay từ đầu: nó **băm mật khẩu an toàn** (thuật toán mạnh, không bao giờ plaintext — bạn dùng `create_user`/`set_password`/`check_password` thay vì xử lý mật khẩu thủ công), quản lý session và đăng nhập (`authenticate`/`login`, với `request.user` có sẵn ở mọi nơi qua middleware), và cung cấp phân quyền qua một **hệ thống quyền và nhóm** đầy đủ.

Biết cách tạo và xác thực user, bảo vệ view (`@login_required`, `LoginRequiredMixin`), và áp đặt **phân quyền** qua quyền và nhóm (phân biệt xác thực — bạn là ai — với phân quyền — bạn được phép làm gì) là nền tảng để xây dựng các ứng dụng bảo mật.

Khả năng mở rộng của hệ thống — đặc biệt dùng một **custom user model** (rất khuyến nghị ngay từ đầu dự án) để thêm field, và backend tùy biến cho đăng nhập email/OAuth — là kiến thức thực tế quan trọng.

Vì xác thực vừa phổ biến vừa quan trọng về bảo mật, và vì Django cung cấp một giải pháp mạnh mẽ, đúng đắn, batteries-included, nắm vững hệ thống auth của nó là kiến thức cốt lõi cho phép bạn xây dựng các ứng dụng hướng người dùng bảo mật mà không phải phát minh lại (và mạo hiểm với) chức năng nền tảng này.