Django 内置了一套完整的认证系统（django.contrib.auth），用于处理用户、密码、会话/登录和权限——这是另一项"开箱即用"的特性，让你免于自己构建（并搞砸）这项安全攸关的功能。
django.contrib.auth.models User
user = User.objects.create_user(username=, email=, password=)
user.set_password()
user.check_password()
内置的 User 模型会自动处理安全的密码哈希（使用 PBKDF2 等强算法）——你永远不会存储或比较明文密码，从而消除了一大安全风险。
from django.contrib.auth import authenticate, login, logout
def login_view(request):
user = authenticate(request, username=username, password=password) # verify credentials
if user is not None:
login(request, user) # establish a SESSION (sets request.user)
return redirect("home")
# else: invalid credentials
def logout_view(request):
logout(request) # clear the session
authenticate() 验证凭据，login() 建立会话——之后在每个请求上 request.user 就是已登录的用户（通过认证中间件实现）。
from django.contrib.auth.decorators import login_required
@login_required # redirect to login if not authenticated
def dashboard(request):
return render(request, "dashboard.html", {"user": request.user})
# for class-based views:
from django.contrib.auth.mixins import LoginRequiredMixin
class DashboardView(LoginRequiredMixin, ListView): ...
# checking permissions
request.user.is_authenticated # is someone logged in?
request.user.is_staff / is_superuser # role flags
request.user.has_perm("blog.add_article")# a specific permission
request.user.groups.all() # group membership (role-based access)
@permission_required("blog.add_article")
def create_article(request): ...
Django 将认证（你是谁——登录）与授权（你能做什么——权限）区分开来。它提供了针对每个模型的权限（add/change/delete/view）、用于基于角色访问的用户组，以及用于强制执行这些权限的装饰器/mixin。
✓ Ready-made views/URLs for login, logout, password change/reset (django.contrib.auth.urls)
✓ Customizable: a CUSTOM USER MODEL (recommended from the start) to add fields,
custom backends (e.g. authenticate via email or OAuth), password validators
Django 内置的认证系统是一项重要的、安全攸关的特性，它让你免于亲手构建 Web 应用程序中最容易出错、最危险的部分之一。
理解它至关重要，因为几乎每个真实的应用程序都需要用户账户、登录和访问控制——而认证一旦做错就会造成严重的安全漏洞（明文密码、弱哈希、会话缺陷）。
Django 的系统开箱即用地正确处理了这些问题：它安全地哈希密码（使用强算法，绝不存明文——你使用 create_user/set_password/check_password 而非手动处理密码），管理会话和登录（authenticate/login，并通过中间件让 request.user 随处可用），并通过一套完整的权限和用户组系统提供授权。
知道如何创建和认证用户、保护视图（@login_required、LoginRequiredMixin），以及如何通过权限和用户组强制执行授权（区分认证——你是谁——与授权——你被允许做什么），是构建安全应用程序的基础。
该系统的可扩展性——尤其是使用自定义用户模型（强烈建议从项目一开始就采用）来添加字段，以及使用自定义后端来实现 email/OAuth 登录——是重要的实用知识。
由于认证既无处不在又安全攸关，而 Django 又提供了一套健壮、正确、开箱即用的解决方案，掌握其认证系统是核心知识，它让你能够构建安全的、面向用户的应用程序，而无需重新发明（并冒险搞砸）这项基础功能。