Django中authenticate和login模塊, auth

Django 提供內置的視圖(view)函數用於處理登錄和退出,Django提供兩個函數來執行django.contrib.auth中的動作 : authenticate()和login()。

認證給出的用戶名和密碼，使用 authenticate() 函數。它接受兩個參數，用戶名 username 和 密碼 password ，並在密碼對給出的用戶名合法的情況下返回一個 User 對象。 如果密碼不合法，authenticate()返回None。

>>> from django.contrib import auth >>> user = auth.authenticate(username='john', password='secret') >>> if user is not None: ... print "Correct!" ... else: ... print "Invalid password."

登錄和驗證

authenticate() 只是驗證一個用戶的證書而已。 而要登錄一個用戶，使用 login() 。該函數接受一個 HttpRequest 對象和一個 User 對象作為參數並使用Django的會話（ session ）框架把用戶的ID保存在該會話中。

下面的例子演示了如何在一個視圖中同時使用 authenticate() 和 login() 函數：

from django.contrib import auth def login_view(request): username = request.POST.get('username', '') password = request.POST.get('password', '') user = auth.authenticate(username=username, password=password) if user is not None and user.is_active: # Correct password, and the user is marked "active" auth.login(request, user) # Redirect to a success page. return HttpResponseRedirect("/account/loggedin/") else: # Show an error page return HttpResponseRedirect("/account/invalid/")

在這里，有個有意思的是user.is_active,用來判斷用戶名密碼是否有效。

注銷用戶

注銷一個用戶，在你的視圖中使用django.contrib.auth.logout() 。 它接受一個HttpRequest對象並且沒有返回值,所以，因為沒有返回值，需要返回一個頁面。

from django.contrib import auth def logout_view(request): auth.logout(request) # Redirect to a success page. return HttpResponseRedirect("/account/loggedout/")

需要注意的是：即使用戶沒有登錄， logout() 也不會拋出任何異常。

Django中常規登錄和退出函數用法

在實際中，你一般不需要自己寫登錄/登出的函數；認證系統提供了一系例視圖用來處理登錄和登出。 使用認證視圖的第一步是把它們寫在你的URLconf中。 你需要這樣寫：

from django.contrib.auth.views import login, logout urlpatterns = patterns('', # existing patterns here... (r'^accounts/login/$', login), (r'^accounts/logout/$', logout), )

/accounts/login/ 和 /accounts/logout/ 是Django提供的視圖的默認URL。

登錄頁面的寫法

缺省情況下， login 視圖渲染 registragiton/login.html 模板(可以通過視圖的額外參數 template_name 修改這個模板名稱)。 這個表單必須包含 username 和 password 域。如下示例： 一個簡單的 template 看起來是這樣的

{% extends "base.html" %} {% block content %} {% if form.errors %} <p class="error">Sorry, that's not a valid username or password</p> {% endif %} <form action="" method="post"> <label for="username">User name:</label> <input type="text" name="username" value="" id="username"> <label for="password">Password:</label> <input type="password" name="password" value="" id="password"> <input type="submit" value="login" /> <input type="hidden" name="next" value="{{ next|escape }}" /> </form> {% endblock %}

如果用戶登錄成功，缺省會重定向到 /accounts/profile 。 你可以提供一個保存登錄后重定向URL的next隱藏域來重載它的行為。 也可以把值以GET參數的形式發送給視圖函數，它會以變量next的形式保存在上下文中，這樣你就可以把它用在隱藏域上了。

logout視圖有一些不同。 默認情況下它渲染 registration/logged_out.html 模板（這個視圖一般包含你已經成功退出的信息）。 視圖中還可以包含一個參數 next_page 用於退出后重定向。

 

 

 

 

 

 

auth模塊是Django提供的標准權限管理系統,可以提供用戶身份認證, 用戶組和權限管理。

auth可以和admin模塊配合使用， 快速建立網站的管理系統。

在INSTALLED_APPS中添加'django.contrib.auth'使用該APP, auth模塊默認啟用.

User

User是auth模塊中維護用戶信息的關系模式(繼承了models.Model), 數據庫中該表被命名為auth_user.

User表的SQL描述:

CREATE TABLE "auth_user" ( "id" integer NOT NULL PRIMARY KEY AUTOINCREMENT, "password" varchar(128) NOT NULL, "last_login" datetime NULL, "is_superuser" bool NOT NULL, "first_name" varchar(30) NOT NULL, "last_name" varchar(30) NOT NULL, "email" varchar(254) NOT NULL, "is_staff" bool NOT NULL, "is_active" bool NOT NULL, "date_joined" datetime NOT NULL, "username" varchar(30) NOT NULL UNIQUE )

auth模塊提供了很多API管理用戶信息, 在必要的時候我們可以導入User表進行操作, 比如其它表需要與User建立關聯時.

from django.contrib.auth.models import User

新建用戶

user = User.objects.create_user(username, email, password)

建立user對象

user.save()

需要調用save()方法新用戶才會寫入數據庫

auth模塊不存儲用戶密碼明文而是存儲一個Hash值, 比如迭代使用Md5算法.

認證用戶

先導入函數

from django.contrib.auth import authenticate

使用關鍵字參數傳遞賬戶和憑據:

user = authenticate(username=username, password=password)

認證用戶的密碼是否有效, 若有效則返回代表該用戶的user對象, 若無效則返回None.

該方法不檢查is_active標志位.

修改密碼

修改密碼是User的實例方法, 該方法不驗證用戶身份:

user.set_password(new_password)

通常該方法需要和authenticate配合使用:

user = auth.authenticate(username=username, password=old_password) if user is not None: user.set_password(new_password) user.save()

登錄

首先import:

from django.contrib.auth import login

login向session中添加SESSION_KEY, 便於對用戶進行跟蹤:

'login(request, user)'

login不進行認證,也不檢查is_active標志位, 一般和authenticate配合使用:

user = authenticate(username=username, password=password)
if user is not None: if user.is_active: login(request, user)

在auth/__init__.py中可以看到login的源代碼.

退出登錄

logout會移除request中的user信息, 並刷新session:

from django.contrib.auth import logout def logout_view(request): logout(request)

只允許登錄的用戶訪問

@login_required修飾器修飾的view函數會先通過session key檢查是否登錄, 已登錄用戶可以正常的執行操作, 未登錄用戶將被重定向到login_url指定的位置.

若未指定login_url參數, 則重定向到settings.LOGIN_URL

from django.contrib.auth.decorators import login_required @login_required(login_url='/accounts/login/') def my_view(request): ...

Group

django.contrib.auth.models.Group定義了用戶組的模型， 每個用戶組擁有id和name兩個字段， 該模型在數據庫被映射為auth_group數據表。

User對象中有一個名為groups的多對多字段， 多對多關系由auth_user_groups數據表維護。Group對象可以通過user_set反向查詢用戶組中的用戶。

我們可以通過創建刪除Group對象來添加或刪除用戶組。

# add group = Group.objects.create(name=group_name) group.save() # del group.delete()

我們可以通過標准的多對多字段操作管理用戶與用戶組的關系:

• 用戶加入用戶組user.groups.add(group)或group.user_set.add(user)

• 用戶退出用戶組user.groups.remove(group)或group.user_set.remove(user)

• 用戶退出所有用戶組user.groups.clear()

• 用戶組中所有用戶退出組group.user_set.clear()

Permission

Django的auth系統提供了模型級的權限控制， 即可以檢查用戶是否對某個數據表擁有增(add), 改(change), 刪(delete)權限。

auth系統無法提供對象級的權限控制， 即檢查用戶是否對數據表中某條記錄擁有增改刪的權限。如果需要對象級權限控制可以使用django-guardian.

假設在博客系統中有一張article數據表管理博文， auth可以檢查某個用戶是否擁有對所有博文的管理權限， 但無法檢查用戶對某一篇博文是否擁有管理權限。

檢查用戶權限

user.has_perm方法用於檢查用戶是否擁有操作某個模型的權限:

user.has_perm('blog.add_article') user.has_perm('blog.change_article') user.has_perm('blog.delete_article')

上述語句檢查用戶是否擁有blog這個app中article模型的添加權限， 若擁有權限則返回True。

has_perm僅是進行權限檢查, 即是用戶沒有權限它也不會阻止程序員執行相關操作。

permission_required修飾器可以代替has_perm並在用戶沒有相應權限時重定向到登錄頁或者拋出異常。

# permission_required(perm[, login_url=None, raise_exception=False]) @permission_required('blog.add_article') def post_article(request): pass

每個模型默認擁有增(add), 改(change), 刪(delete)權限。在django.contrib.auth.models.Permission模型中保存了項目中所有權限。

該模型在數據庫中被保存為auth_permission數據表。每條權限擁有id ,name , content_type_id, codename四個字段。

管理用戶權限

User和Permission通過多對多字段user.user_permissions關聯，在數據庫中由auth_user_user_permissions數據表維護。

• 添加權限: user.user_permissions.add(permission)

• 刪除權限: user.user_permissions.delete(permission)

• 清空權限: user.user_permissions.clear()

用戶擁有他所在用戶組的權限， 使用用戶組管理權限是一個更方便的方法。Group中包含多對多字段permissions， 在數據庫中由auth_group_permissions數據表維護。

• 添加權限: group.permissions.add(permission)

• 刪除權限: group.permissions.delete(permission)

• 清空權限: group.permissions.clear()

自定義權限

在定義Model時可以使用Meta自定義權限:

class Discussion(models.Model): ... class Meta: permissions = ( ("create_discussion", "Can create a discussion"), ("reply_discussion", "Can reply discussion"), )

判斷用戶是否擁有自定義權限:

user.has_perm('blog.create_discussion')