Django 5实用指南（九）认证与权限控制

在任何Web应用程序中，用户认证和权限控制都是至关重要的部分。Django 提供了一个内置的用户认证系统，帮助开发者方便地实现用户的注册、登录、权限管理等功能。同时，Django 还提供了强大的权限控制功能，可以细粒度地控制用户对资源的访问权限。本章将详细讲解如何在 Django5 中实现用户认证、权限控制和管理。

9.1 用户认证系统

Django 提供了一个完善的认证系统，可以处理用户的注册、登录、登出、密码管理等常见功能。Django 自带的 django.contrib.auth 应用提供了用户认证所需的大部分功能。

9.1.1 创建用户模型

Django 默认的用户模型已经非常强大，能够处理大多数的认证需求。首先，我们来看一下如何使用 Django 默认的用户模型。

# views.py
from django.contrib.auth.models import User
from django.shortcuts import render
from django.http import HttpResponse

def create_user(request):
    # 创建用户
    user = User.objects.create_user(username="testuser", password="password123")

    return HttpResponse("User created successfully!")

create_user：这是 Django 提供的一个方法，用于创建一个新的用户，并确保密码被正确加密。

9.1.2 用户登录与登出

Django 提供了 authenticate 和 login 等函数，帮助实现用户登录功能。使用 logout 函数来登出用户。

# views.py
from django.contrib.auth import authenticate, login, logout
from django.shortcuts import render, redirect
from django.contrib.auth.models import User

def user_login(request):
    if request.method == "POST":

        username = request.POST["username"]

        password = request.POST["password"]

        user = authenticate(request, username=username, password=password)

        if user is not None:

            login(request, user)

            return redirect("home")  # 登录成功后跳转到主页

        else:

            return HttpResponse("Invalid credentials")

    return render(request, "login.html")

def user_logout(request):
    logout(request)

    return redirect("home")

• authenticate：此函数验证用户名和密码，并返回一个有效的 User 对象。
• login：此函数将用户登录到当前会话中。
• logout：登出用户并清除会话信息。

9.1.3 密码管理

Django 提供了密码加密功能，在用户注册和修改密码时，Django 会自动加密密码。

# views.pyfrom django.contrib.auth.hashers import make_random_password, make_password
from django.contrib.auth.models import User

def change_password(request):
    user = User.objects.get(username="testuser")

    new_password = make_password("newpassword123")  # 密码加密

    user.password = new_password

    user.save()

    return HttpResponse("Password updated successfully!")

make_password：用于加密密码，确保密码安全。

9.2 用户权限与组

Django 提供了内置的权限系统，可以轻松地为用户分配权限和组，进而控制用户的访问权限。用户权限分为两种：模型权限和自定义权限。

9.2.1 使用模型权限

Django 默认会为每个模型提供三个基本的权限：添加、修改、删除。可以通过 User 或 Group 来赋予这些权限。

# models.pyfrom django.db import models

class Book(models.Model):
    title = models.CharField(max_length=200)

    author = models.CharField(max_length=100)

    class Meta:
        permissions = [
            ("can_view_book", "Can view book details"),

            ("can_edit_book", "Can edit book details")
        ]

permissions：在 Meta 内部定义自定义权限。

9.2.2 创建和分配权限

Django 提供了一个权限管理系统，可以通过 Permission 模型来创建和分配权限。

# admin.pyfrom django.contrib import admin
from .models import Book
from django.contrib.auth.models import Permission

@admin.register(Book)
class BookAdmin(admin.ModelAdmin):
    list_display = ('title', 'author')

    def get_permissions(self, request):
        permissions = super().get_permissions(request)

        permissions.append('can_view_book')  # 赋予用户查看书籍的权限

        return permissions

Permission：Permission 模型允许你为用户或组分配权限。

9.2.3 用户组与权限管理

可以通过用户组来方便地分配权限，而不必单独为每个用户配置权限。用户组可以是“管理员”、“编辑”等角色，每个角色可以拥有不同的权限。

# views.py
from django.contrib.auth.models import Group, User

def create_group_and_assign_permissions(request):
    group, created = Group.objects.get_or_create(name="Editors")

    if created:
        group.permissions.add(Permission.objects.get(codename="can_edit_book"))

    user = User.objects.get(username="testuser")

    user.groups.add(group)

    return HttpResponse("Group created and permissions assigned.")

• Group：为用户创建一个组，并将该组与特定权限绑定。
• permissions.add：为组分配权限。

9.3 权限控制

Django 提供了多种方式来控制视图的访问权限，例如通过装饰器、权限类等。

9.3.1 使用 @login_required 装饰器

使用 @login_required 装饰器来限制用户必须登录才能访问某个视图。

from django.contrib.auth.decorators import login_required

@login_required
def my_view(request):

    return HttpResponse("This is a protected view.")

@login_required：只有经过身份验证的用户才能访问该视图。

9.3.2 使用 @permission_required 装饰器

使用 @permission_required 装饰器来限制用户必须拥有某个权限才能访问视图。

from django.contrib.auth.decorators import permission_required

@permission_required('myapp.can_edit_book')
def edit_book(request):

    return HttpResponse("You have the permission to edit books.")

@permission_required：确保用户拥有指定的权限后才能访问该视图。

9.3.3 使用 UserPassesTestMixin

UserPassesTestMixin 可以根据自定义的逻辑来限制视图的访问权限。

from django.contrib.auth.mixins import UserPassesTestMixin
from django.views.generic import View

class BookDetailView(UserPassesTestMixin, View):
    def test_func(self):

        return self.request.user.has_perm('myapp.can_view_book')

    def get(self, request):

        return HttpResponse("You can view this book.")

test_func：该方法用来定义访问权限的检查逻辑，只有返回 True 的用户才能访问视图。

9.4 用户密码重置

Django 提供了内置的密码重置功能，用户可以通过电子邮件重置密码。该功能由 Django 提供的 PasswordResetView 和相关的 URL 配置完成。

9.4.1 配置密码重置

首先，需要在 urls.py 文件中添加密码重置相关的 URL 配置：

from django.contrib.auth import views as auth_views

urlpatterns = [
    # 密码重置
    path('password_reset/', auth_views.PasswordResetView.as_view(), name='password_reset'),

    path('password_reset/done/', auth_views.PasswordResetDoneView.as_view(), name='password_reset_done'),

    path('reset/<uidb64>/<token>/', auth_views.PasswordResetConfirmView.as_view(), name='password_reset_confirm'),

    path('reset/done/', auth_views.PasswordResetCompleteView.as_view(), name='password_reset_complete'),

]

• PasswordResetView：提供了一个表单，允许用户输入他们的电子邮件地址来重置密码。

9.4.2 自定义密码重置模板

Django 允许开发者自定义密码重置的模板，以便与应用的其他页面风格一致。

<!-- password_reset_form.html -->
<form method="post">

    {% csrf_token %}

    {{ form.as_p }}

    <button type="submit">Reset Password</button>
</form>

小结

本章介绍了 Django5 中用户认证和权限控制的实现方法，包括如何处理用户注册、登录、登出，如何为用户分配权限、使用组进行权限管理，以及如何保护视图和使用密码重置功能。通过灵活使用 Django5 提供的认证与权限控制系统，可以确保 Web 应用的安全性和用户操作的可控性。