Django-Auth认证系统

我们在开发一个网站的时候，我可避免的需要设计实现网站的用户系统。此时我们需要实现包括用户注册、用户登录、用户认证、注销、修改密码等一系列功能。Django作为一个完美主义者的终极框架，当然也会想到用户的这些需求，它内置了强大的用户认证系统——auth，他默认使用auth_user 表来存储用户数据。

新建用户

创建用户最直接的方法是使用包含 create_user() 的函数：

from django.contrib.auth.models import User    #引入User模块

user = User.objects.create_user(username=username, password=password)    #新建普通用户
user = User.objects.create_superuser(username=username, password=password)    #创建超级用户
user.sava()    #创建用户并提交

认证用户

使用 authenticate() 来验证用户。它使用 username 和 password 作为参数来验证，对每个身份验证后端进行检查。如果后端验证有效，则返回一个User对象，否则将返回 None。

from django.contrib.auth import authenticate    #引入authenticate模块

user = authenticate(username='username', password='password')
if user is not None:
    # A backend authenticated the credentials
else:
    # No backend authenticated the credentials
# 认证用户的账户密码是否有效, 若有效则返回代表该用户的user对象, 若无效则返回None.

修改密码和密码验证

Django 不会在用户模型里保存原始(明文)密码，而只会存储哈希值 。因此，请不要试图直接操作用户的密码，这就是创建用户需要辅助函数的原因。

from django.contrib.auth.models import User

user = User.objects.get(username='username')
user.set_password('new password')
user.save()

check_password(raw_password)
auth 提供的一个检查密码是否正确的方法，需要提供当前请求用户的密码。密码争取返回True，否则返回Fale。
一个修改密码功能的简单示例:

@login_required
def set_password(request):
    user = request.user
    err_msg = ''
    if request.method == 'POST':
        old_password = request.POST.get('old_password', '')
        new_password = request.POST.get('new_password', '')
        repeat_password = request.POST.get('repeat_password', '')
        # 检查旧密码是否正确
        if user.check_password(old_password):
            if not new_password:
                err_msg = '新密码不能为空'
            elif new_password != repeat_password:
                err_msg = '两次密码不一致'
            else:
                user.set_password(new_password)
                user.save()
                return redirect("/login/")
        else:
            err_msg = '原密码输入错误'
    content = {
        'err_msg': err_msg,
    }
    return render(request, 'set_password.html', content)

用户如何登陆

如果有一个已验证的用户想附加到当前会话(session)中，将通过 login() 函数完成。

要在视图中让用户登录，使用 login() 。它需要 HttpRequest 对象和 User 对象。通过 Django 的 session 框架， login() 会在 session 中保存用户的ID。
注意，在匿名会话期间设置的任何数据都会在用户登录后保留在会话中。

from django.contrib.auth import authenticate, login

def tologin(request):
    username = request.POST['username']
    password = request.POST['password']
    user = authenticate(request, username=username, password=password)
    if user is not None:
        login(request, user)
        # Redirect to a success page.
        ...
    else:
        # Return an 'invalid login' error message.
        ...

用户如何登出

logout(request)
如果已经通过 django.contrib.auth.login() 登录的用户想退出登录，可以在视图中使用 django.contrib.auth.logout() 。需要传入 HttpRequest 对象，并且该函数不会返回值。

from django.contrib.auth import logout

def tologout(request):
    logout(request)
    # Redirect to a success page.

注意，如果用户未登录，logout() 不会报错。

调用 logout() 后，当前请求的会话数据会被全部清除。这是为了防止其他使用同一个浏览器的用户访问前一名用户的会话数据。如果想在登出后立即向用户提供的会话中放入任何内容，请在调用 django.contrib.auth.logout() 之后执行此操作。

限制对未登录用户的访问

限制访问页面最原始的办法就是检查 request.user.is_authenticated 并重定向到登录页面。

from django.conf import settings
from django.shortcuts import redirect

def my_view(request):
    if not request.user.is_authenticated:
        return redirect('%s?next=%s' % (settings.LOGIN_URL, request.path))
    # ...

或者显示一个错误信息：

from django.shortcuts import render

def my_view(request):
    if not request.user.is_authenticated:
        return render(request, 'myapp/login_error.html')
    # ...

login_required 装饰器

from django.contrib.auth.decorators import login_required

@login_required
def my_view(request):
    ...

auth_user数据表字段详解

Django中使用的模型User来自于Django的内置模型，在数据库中对应的数据表为auth_user。该表有以下字段：

字段	说明
id	int类型，数据表主键
password	varchar类型，用户密码
last_lgoin	datetime类型，最近一次登录时间
is_superuser	tinyint类型，是否为超级用户
username	varchar类型，用户账号
first_name	varchar类型，用户的名字
last_name	varchar类型，用户的姓氏
email	电子邮件
is_staff	判断用户是否可以可以登录Admin系统
is_active	tinyint类型，判断该用户的状态是否被激活
date_joined	datetime类型，账号的创建时间

扩展默认的auth_user表

内置的认证系统这么好用，但是auth_user表字段都是固定的那几个，我在项目中没法拿来直接使用！这时我们可以通过继承内置的 AbstractUser 类，来定义一个自己的Model类。这样既能根据项目需求灵活的设计用户表，又能使用Django强大的认证系统了。

from django.contrib.auth.models import AbstractUser
class UserInfo(AbstractUser):
    """
    用户信息表
    """
    phone = models.CharField(max_length=11, unique=True)
    qq_num = models.CharField(max_length=11, unique=True)

    
    def __str__(self):
        return self.username

注意：按上面的方式扩展了内置的auth_user表之后，一定要在settings.py中告诉Django，使用我新定义的UserInfo表来做用户认证。写法如下：

AUTH_USER_MODEL = "app名.UserInfo"

然后去数据库里面查看一下，如图

11.png