一 導言

設計一個好的使用者系統往往不是那麼容易，Django提供的使用者系統可以快速實現基本的功能，並可以在此基礎上繼續擴充套件以滿足我們的需求。

先看看Django的使用者系統都提供哪些功能：

• 提供使用者模組(User Model)
• 許可權驗證(預設新增已有模組的增加刪除修改許可權)
• 使用者組與組許可權功能
• 使用者鑑權與登入功能
• 與使用者登入驗證相關的一些函式與裝飾方法

如配置了Django的使用者系統，僅需呼叫Django提供的幾個函式，便可實現使用者的登入，登出，許可權驗證等功能。例如以下情景

1.登入

# some_view.py
from django.contrib.auth
 
 import authenticate, login

def login(request):
    username = request.POST['username']
    password = request.POST['password']

    # Django提供的authenticate函式，驗證使用者名稱和密碼是否在資料庫中匹配
    user = authenticate(username=username, password=password)

    if user is not None:
        # Django提供的login函式，將當前登入使用者資訊儲存到會話key中
 

        login(request, user)

        # 進行登入成功的操作，重定向到某處等
        ...
    else:
        # 返回使用者名稱和密碼錯誤資訊
        ...

2.登出

# some_view.py
from django.contrib.auth import logout

def logout(request):
    # logout函式會清除當前使用者儲存在會話中的資訊
    logout(request)

3.驗證是否登入

# some_view.py

def some_fuction
 
(request):
    user = request.user
    if user.is_authenticated:
        # 已登入使用者，可以往下進行操作
    else:
        # 返回要求登入資訊

4.驗證是否有許可權

# some_view.py

def some_fuction(request):
    user = request.user
    if user.has_perm('myapp.change_bar'):
        # 有許可權，可以往下進行操作
    else:
        # 返回禁止訪問等資訊

二 使用者模組

Django的使用者模組類定義在auth應用中，如要直接使用Django的使用者類，在setting配置檔案中的INSTALLAPP新增一行django.contrib.auth。

這樣就可以在程式碼中直接用User類建立使用者:

from django.contrib.auth.models import User
user = User.objects.create_user('john', '[email protected]', 'johnpassword')
user.last_name = 'Lennon'
user.save()

看看Django的原始碼User類定義了什麼屬性：

class User(AbstractUser):
    """
    Users within the Django authentication system are represented by this
    model.
    Username, password and email are required. Other fields are optional.
    """
    class Meta(AbstractUser.Meta):
        swappable = 'AUTH_USER_MODEL'

…，啥都沒有？

注意到User類繼承AbstractUser類， 使用者名稱和密碼資訊等定義在父類了。所以再看看AbstractUser類的定義, 限於篇幅僅列出其中一部分，原始碼在https://github.com/django/django/blob/master/django/contrib/auth/models.py

class AbstractUser(AbstractBaseUser, PermissionsMixin):
    username = models.CharField(
        _('username'),
        max_length=150,
        unique=True,
        help_text=_('Required. 150 characters or fewer. Letters, digits and @/./+/-/_ only.'),
        validators=[username_validator],
        error_messages={
            'unique': _("A user with that username already exists."),
        },
    )
    first_name = models.CharField(_('first name'), max_length=30, blank=True)
    last_name = models.CharField(_('last name'), max_length=30, blank=True)
    email = models.EmailField(_('email address'), blank=True)
    date_joined = models.DateTimeField(_('date joined'), default=timezone.now)
....

可以看到AbstractUser類中定義了username這個欄位了，另外還有email、first_name、last_name等。AbstractUser類還繼承AbstractBaseUser和PermissionsMixin類，AbstractBaseUser類提供password欄位及將密碼加密儲存的相關方法，PermissionsMixin類提供User類許可權認證功能。

總的來說，一個User類，定義了以下欄位：

• username: 使用者名稱
• password: 密碼
• first_name: 姓名
• last_name: 姓名
• email: 郵箱
• groups: Group類多對多的關係物件管理器
• user_permissions: Permission類多對多的關係物件管理器
• is_staff: 是否工作人員
• is_active: 是否啟用
• is_superuser: 是否管理員
• last_login: 最近登入時間
• date_joined: 註冊時間

另外，生成一個User例項，可以使用以下屬性：

• is_authenticated: 只讀，用來判斷使用者是否存在。只有AnonymousUser類這個屬性為False。
• is_anonymous: 就是用來區分 User 和 AnonymousUser 物件而已。

User類提供了許多方法方便我們執行各種操作：

• set_password(raw_password): 可以將password轉成hash值，記得再呼叫user.save()儲存。
• check_password(raw_password): 相反，將原生密碼與儲存在資料庫中hash值密碼對比(直接對比肯定不相同的)。
• has_perm(perm, obj=None)，has_perms(perm_list, obj=None): 驗證該使用者是否擁有某個許可權或者許可權列表
• get_all_permissions(obj=None): 返回該使用者擁有的所有許可權

三 驗證與登入使用者

驗證使用者名稱和密碼看起來很簡單，對比提交的使用者名稱和密碼與資料庫儲存的一致即可。

如：

# some_view.py
def some_fuction(request):
    username = request.POST['username']
    password = request.POST['password']
    try:
        user = User.objects.get(username=username, password=password)
    except ObjectNotExists:
        # 使用者名稱和密碼不匹配一個使用者

    ...

由於密碼已經進行hash後儲存，上述程式碼還得先把提交的password值先hash再去資料庫中搜索，總得多寫了一些程式碼。這些Django都已經考慮到了， 提供了一個authenticate函式驗證是否存在該使用者，就像導言的例項程式碼：

# some_view.py
from django.contrib.auth import authenticate, login

def login(request):
    username = request.POST['username']
    password = request.POST['password']
    user = authenticate(username=username, password=password)
    if user is not None:
        login(request, user)
        ...
    else:
        ...

這裡重點說明一下authenticate和login函式。

1.authenticate(**credentials)

傳入待驗證的引數，預設是username和password，它會呼叫系統配置裡的每一個authentication backend進行驗證，驗證通過返回一個User例項，否則返回None。

每一個authentication backend指認證後端，在setting.py中配置的AUTHENTICATION_BACKENDS變數，預設是[‘django.contrib.auth.backends.ModelBackend’]，可以增加自定義的認證後端，或者使用第三方提供的。authenticate函式會按順序呼叫每一個進行驗證，如果第一個沒有通過，它會使用第二個進行驗證，直到所有的認證後端都失敗後才返回None。

看看這個ModelBackend類如何返回認證使用者(再次縮減原始碼)：

class ModelBackend(object):
    def authenticate(self, request, username=None, password=None, **kwargs):
        if username is None:
            username = kwargs.get(UserModel.USERNAME_FIELD)
        try:
            user = UserModel._default_manager.get_by_natural_key(username)
        except UserModel.DoesNotExist:

            UserModel().set_password(password)
        else:
            if user.check_password(password) and self.user_can_authenticate(user):
                return user
# ...

實際上authenticate函式會呼叫每一個authentication backend類的authenticate方法， ModelBackend類與我們之前的驗證方法稍有不同，它先從資料庫使用者表中取出與username對應的一個User例項，再通過User的check_password方法驗證password是否正確，並返回這個User例項。

2.login(request, user, backend=None)

接收HttpRequest物件和一個User物件，login函式會將當前使用者資訊儲存到會話cookie中，所以要使用Django使用者系統的所有功能，也得安裝Django預設的會話APP。

看看login函式做了什麼：

def login(request, user, backend=None):
    # (清空當前的session資訊)
    # ...
    request.session[SESSION_KEY] = user._meta.pk.value_to_string(user)
    request.session[BACKEND_SESSION_KEY] = backend
    request.session[HASH_SESSION_KEY] = session_auth_hash
    if hasattr(request, 'user'):
       request.user = user
    rotate_token(request)
    user_logged_in.send(sender=user.__class__, request=request, user=user)

login函式將當前使用者的一個唯一標識資訊儲存在request.session的SESSION_KEY中， 下次請求時即可從會話cookie中拿到當前登入的使用者物件。

如果要求登入使用者才能訪問相應的View，可以這麼寫：

from django.conf import settings
from django.shortcuts import redirect

def my_view(request):
    if not request.user.is_authenticated:
        return redirect('%s?next=%s' % (settings.LOGIN_URL, request.path))

通過login函式可以將使用者資訊儲存在會話中，當下一個請求到達view前，Django的會話中介軟體從會話cookie中取出使用者物件，並賦值給request.user。這樣，已登入的使用者request.user.is_authenticated值為True，可以進行相應的操作。未登入使用者request.user返回一個AnonymousUser物件，它的is_authenticated屬性值永遠為False，那麼要將這個請求重定向到登入頁面。

這兩行程式碼可以通過在view函式上加一個裝飾器實現，如

@login_required
def my_view(request):
    ...

裝飾器login_required(redirect_field_name='next', login_url=None)， 可傳入login_url引數設定未登入使用者的請求重定向的地址，否則重定向到settings.LOGIN_URL。

四 許可權認證

User模型有兩個多對多關係的欄位: groups 和 user_permissions， 它們與Pemission模型有關。User與Pemission、User與Permission、Group與Permission均是多對多關係， Permission定義了具體的許可權，其欄位如下：

class Permission(models.Model):
    name = models.CharField(_('name'), max_length=255)      # 許可權名稱（用作顯示）
    content_type = models.ForeignKey(       # 內容型別： 每個模型對應一個內容型別，用於定位指定模型
        ContentType,
        models.CASCADE,
        verbose_name=_('content type'),
    )
    codename = models.CharField(_('codename'), max_length=100)   # 許可權的程式碼名稱，用在如has_permission函式引數

給一個使用者新增、刪除許可權很簡單： myuser.user_permissions.set([permission_list]) myuser.user_permissions.add(permission, permission, …) myuser.user_permissions.remove(permission, permission, …) myuser.user_permissions.clear()

其中，permission是具體的permission物件。 也可以通過使用者所在的組新增相應的許可權： group.permissions.set([permission_list]) group.permissions.add(permission, permission, …) group.permissions.remove(permission, permission, …) group.permissions.clear()

只要這個使用者加入該組也擁有組許可權。通過User物件的get_all_permissions(obj=None)方法可以獲得該使用者的所有許可權列表(字元列表)，也可以通過get_group_permissions(obj=None)獲得對應的組許可權列表。

我們更經常要做的是在view中執行操作之前驗證使用者是否擁有指定許可權，這裡一般用到User物件的has_perm(perm, obj=None)方法或者has_perms(perm_list, obj=None)判斷。

has_perm(perm, obj=None)方法中perm是”."格式的許可權字串， 如果有這個許可權，方法會返回True。同樣，`has_perms(perm_list, obj=None)`方法中perm_list中是"."格式的許可權字串列表。

同login_required裝飾器，許可權認證也有對應的permission_required裝飾器:

permission_required(perm, login_url=None, raise_exception=False)

如果raise_exception=True， 許可權沒有認證通過則丟擲PermissionDenied異常，返回預設的403頁面。

Done.

原文地址：http://neven.me/django/2016/11/26/Django%E7%9A%84%E7%94%A8%E6%88%B7%E6%A8%A1%E5%9D%97%E4%B8%8E%E6%9D%83%E9%99%90%E7%B3%BB%E7%BB%9F/