Django認證系統並不雞肋反而很重要
阿新 • • 發佈：2020-12-11
在使用`django-admin startproject`建立專案後，Django就預設安裝了一個採用session實現的認證系統。這是Django相比於其他框架的一大特點：自帶認證系統，開箱即用。有人說它方便，有人說它雞肋，但它作為Django的重要組成部分，學習它有助於我們理解Django框架的核心技術。
# 安裝
Django預設已安裝，可以在`settings.py`中的`INSTALLED_APPS`看到：
- django.contrib.auth：認證系統核心，以及預設models等。
- django.contrib.contenttypes：用於關聯許可權和models，從而賦予models的新增/刪除等許可權。
> contrib翻譯為普通釋出版。
在`MIDDLEWARE`可以看到：
- `SessionMiddleware`：session中介軟體。
- `AuthenticationMiddleware`：認證中介軟體。
使用`python manage.py migrate`後，資料庫會新增認證系統的這些表：
return HttpResponse('result')
```
class-based views（基於類的檢視），檢視是個類：
```python
from django.views import View
class MyView(View):
def get(self, request):
#
return HttpResponse('result')
```
為什麼需要cbv？因為類可以繼承，提高程式碼複用。由於Django的URLconf只能接受函式，所以cbv有個as_view()方法用來返回一個函式：
```python
# urls.py
from django.urls import path
from myapp.views import MyView
urlpatterns = [
path('about/', MyView.as_view()),
]
```
## LoginRequiredMixin
Mixin是為了程式碼複用，從多個父類繼承而來的類。如果使用的是class-based views，那麼可以使用LoginRequiredMixin，來實現login_required的效果，例如：
```python
from django.contrib.auth.mixins import LoginRequiredMixin
class MyView(LoginRequiredMixin, View):
login_url = '/login/'
redirect_field_name = 'redirect_to'
```
## permission_required
除了需要登入，有些檢視還需要許可權。Django提供了`permission_required`裝飾器，它的函式簽名如下：
`permission_required(perm, login_url=None, raise_exception=False)`
示例：
```python
from django.contrib.auth.decorators import permission_required
@permission_required('polls.add_choice')
def my_view(request):
...
```
`permission_required`的`perm`引數，指的是許可權，可以是單個許可權，也可以是許可權列表。
`permission_required`的`login_url`引數和`login_required`的`login_url`作用一樣。
`permission_required`的`raise_exception`引數，可以用來丟擲異常，賦值為True後會跳轉到403（HTTP Forbidden）頁面而非登入頁面。
如果既想丟擲異常 ，又想跳轉到登入頁面，那麼可以同時新增這2個裝飾器：
```python
from django.contrib.auth.decorators import login_required, permission_required
@login_required
@permission_required('polls.add_choice', raise_exception=True)
def my_view(request):
...
```
## PermissionRequiredMixin
如果使用的是class-based views，那麼可以使用PermissionRequiredMixin，來實現permission_required的效果，例如：
```python
from django.contrib.auth.mixins import PermissionRequiredMixin
class MyView(PermissionRequiredMixin, View):
permission_required = 'polls.add_choice'
# Or multiple of permissions:
permission_required = ('polls.view_choice', 'polls.change_choice')
```
## 修改密碼導致session失效
登入成功後，Django會把加密後的密碼hash值存入session中，每次請求時，會校驗session中的密碼和資料庫中的密碼是否匹配。如果修改了密碼，資料庫中的密碼改變了，而session中的密碼沒有更新，那麼密碼就會匹配不上，導致session失效。django.contrib.auth的PasswordChangeView和user_change_password檢視會在修改密碼時更新session中的密碼hash，來避免session失效。如果對修改密碼的檢視進行了自定義，那麼可以使用`update_session_auth_hash(request, user)`來更新session中的密碼，防止修改密碼導致session失效。
## 認證檢視
Django提供了登入、登出、密碼管理等檢視。最簡單的使用方式是在URLconf中配置：
```python
urlpatterns = [
path('accounts/', include('django.contrib.auth.urls')),
]
```
它會包含這些URL patterns：
```python
accounts/login/ [name='login']
accounts/logout/ [name='logout']
accounts/password_change/ [name='password_change']
accounts/password_change/done/ [name='password_change_done']
accounts/password_reset/ [name='password_reset']
accounts/password_reset/done/ [name='password_reset_done']
accounts/reset/// [name='password_reset_confirm']
accounts/reset/done/ [name='password_reset_complete']
```
> name是別名，可以使用reverse()函式來獲取，如`reverse('login')`。
>
但有時我們需要自定義url，在URLconf中新增自定義url後，再加上相應檢視即可，例如：
```python
from django.contrib.auth import views as auth_views
urlpatterns = [
path('change-password/', auth_views.PasswordChangeView.as_view()),
]
```
> 所有的這些檢視都是class-based views，便於繼承後重寫進行自定義。
Django提供的相關檢視有LoginView、LogoutView、PasswordChangeView、PasswordChangeDoneView、PasswordResetView、PasswordResetDoneView、PasswordResetConfirmView、PasswordResetCompleteView。
# 快速上手體驗
如果想快速上手體驗，可以按如下步驟進行操作：
1. `pip install django`，安裝Django。
2. `django-admin startproject project_name`，建立Django專案。
3. `python manage.py migrate`，資料遷移，使用自帶SQLite資料庫即可。
4. `python manage.py createsuperuser`，建立超級管理員。
5. `python manage.py runserver`，啟動專案。
6. 訪問`http://127.0.0.1:8000/admin/`，用超管登入管理後臺。
就可以使用Django自帶認證系統了。
# 小結
本文介紹了Django自帶的基於session的認證系統，闡述了使用者、組、認證與授權的相關概念，以及session認證的技術細節，最後講解了如何快速上手體驗的操作步驟。雖然如今基於session認證用的很少了，但它卻是理解Token、JWT認證的基礎，仍然值得我們學習。
> 參考資料：
>
> https://docs.djangoproject.com/en/3.1/topics/auth/
>
> https://docs.djangoproject.com/en/3.1/topics/auth/de