Django——用户认证

用户与Authentication（身份验证）

Django 用户认证系统处理用户帐号，组，权限以及基于cookie的用户会话。这个系统一般被称为 auth/auth (认证与授权)系统。这个系统的名称同时也表明了用户常见的两步处理。

验证 (认证) 用户是否是他所宣称的用户(一般通过查询数据库验证其用户名和密码)
验证用户是否拥有执行某种操作的授权 (通常会通过检查一个权限表来确认)

根据这些需求，Django 认证/授权系统会包含以下的部分：

用户 : 在网站注册的人
权限 : 用于标识用户是否可以执行某种操作的二进制(yes/no)标志
组 :一种可以将标记和权限应用于多个用户的常用方法
Messages : 向用户显示队列式的系统消息的常用方法

通过 is_authenticated() 方法来判断一个用户是否已经登录了

if request.user.is_authenticated():
# Do something for authenticated users.
else:
# Do something for anonymous users.

创建用户（创建对象）

创建用户最直接的方法是使用包含 create_user() 的函数

>>> from django.contrib.auth.models import User
>>> user = User.objects.create_user('john', 'lennon@thebeatles.com', 'johnpassword')

# At this point, user is a User object that has already been saved
# to the database. You can continue to change its attributes
# if you want to change other fields.
>>> user.last_name = 'Lennon'
>>> user.save()

更改密码

Django 不会在用户模型里保存原始(明文)密码，而只会存储哈希值(请参阅文档如何管理密码 documentation of how passwords are managed ) 。因此，请不要试图直接操作用户的密码，这就是创建用户需要辅助函数的原因。

1.manage.py changepassword *username* 提供了在命令行修改用户密码的方法。它会提示你输入两次新密码，如果操作成功，新密码就立刻生效。如果你没有提供参数 username ，那么将会尝试修改当前系统用户的密码。

2.在代码里修改密码，使用 set_password():

>>> from django.contrib.auth.models import User
>>> u = User.objects.get(username='john')
>>> u.set_password('new password')
>>> u.save()

如果你已经按照了 Django admin 管理后台，你也可以在管理后台页面修改密码（请参阅authentication system's admin pages）。

Django 还提供了允许用户自行修改密码的` 。

修改密码将会注销用户的所有会话。查看详情请参阅密码更改时会话失效

使用User对象

User 实例一般从 request.user ，或是其他下面即将要讨论到的方法取得，它有很多属性和方法

AnonymousUser 对象模拟了部分的接口，但不是全部，在把它当成真正的user对象使用前，需要检查一下

User 对象属性

属性	描述
username	必须的，不能多于30个字符，仅用字母数字式字符（字母、数字和下划线）。
first_name	可选; 少于等于30字符。
last_name	可选; 少于等于30字符。
email	可选。邮件地址。
password	必需的。密码的哈希值（Django不储存原始密码）。
is_staff	布尔值。用户是否拥有网站的管理权限。
is_active	布尔值. 设置该账户是否可以登录。把该标志位置为False而不是直接删除账户。
is_superuser	布尔值标识用户是否拥有所有权限，无需显式地权限分配定义。
last_login	用户上次登录的时间日期。它被默认设置为当前的日期/时间。
date_joined	账号被创建的日期时间当账号被创建时，它被默认设置为当前的日期/时间。

user对象方法

方法	描述
is_authenticated()	如果是真正的 User 对象，返回值恒为 True 。用于检查用户是否已经通过了认证。通过认证并不意味着用户拥有任何权限，甚至也不检查该用户是否处于激活状态，这只是表明用户成功的通过了认证。
is_anonymous()	如果是个 AnonymousUser ，返回值为 True ，如果是 User 对象，返回值为 False 。一般来说， is_authenticated() 会比这个方法更常用些。
get_full_name()	返回值为： first_name 加上 last_name ，以空格分隔。
set_password(passwd)	如果给定的字符串通过了密码检查，返回 True 。密码比较已进行了哈希处理。
get_group_permissions()	返回用户通过所属组获得的权限列表
get_all_permissions()	返回用户通过所属组和用户自身权限所获得的所有权限列表。
has_perm(perm)	如果用户拥有给定的权限，返回 True ， perm 应形如 " codename" 的格式。如果用户处于非激活状态，则总是返回 False 。
has_perms(perm_list)	如果用户拥有所有给定的权限，返回 True 。如果用户处于非激活状态，则总是返回 False
has_module_perms(app_label)	如果用户拥有任何给定 app_label 的权限，返回 True 。如果用户处于非激活状态，则总是返回 False
get_and_delete_messages()	返回用户的 Message 对象列表，并从队列中删除。
email_user(subj, msg)	给用户发送电子邮件，用 DEFAULT_FROM_EMAIL 的设置作为发件人。也可以用第3个参数 from_email 来覆盖设置。
get_profile()	返回用户的网站自定义profile

权限和认证

User 对象有两个多对多的属性： groups 和 permissions 。 User 对象可以象使用其他多对多属性的方法一样使用它们。

# Set a user's groups: 
myuser.groups = group_list 
myuser.groups.set([group_list])
# Add a user to some groups: 
myuser.groups.add(group1, group2,...) 
# Remove a user from some groups: 
myuser.groups.remove(group1, group2,...) 
# Remove a user from all groups: 
myuser.groups.clear() 
# Permissions work the same way 
myuser.permissions = permission_list 
myuser.permissions.add(permission1, permission2, ...) myuser.permissions.remove(permission1, permission2, ...)
myuser.permissions.clear()

登录和退出(验证用户)

Django 提供内置的视图(view)函数用于处理登录和退出，但在开始前，我们来看看如何手工登录和退出，Django 在 django.contrib.auth 中提供了两个函数来处理这些事情—— authenticate() 和 login()

使用 authenticate() 来验证用户。它使用 username 和 password 作为参数来验证，对每个身份验证后端( authentication backend )进行检查。如果后端验证有效，则返回一个 :class:~django.contrib.auth.models.User 对象。如果后端引发 PermissionDenied 错误，将返回 None。举例

from django.contrib.auth import authenticate
user = authenticate(username='john', password='secret')
if user is not None:
    # A backend authenticated the credentials
else:
    # No backend authenticated the credentials

authenticate() 只是验证一个用户的证书而已。而要登录一个用户，使用 login() 。该函数接受一个 HttpRequest 对象和一个 User 对象作为参数并使用Django的会话（ session ）框架把用户的ID保存在该会话中。

from django.contrib import auth 
def login(request): 
    username = request.POST['username'] 
    password = request.POST['password'] 
    user = auth.authenticate(username=username, password=password) #验证成功：一个User实例
    if user is not None and user.is_active: 
        # Correct password, and the user is marked "active" 
        auth.login(request, user) 
        # Redirect to a success page. 
        return redirect("/account/loggedin/") 
    else: 
        # Show an error page 
        return redirect("/account/invalid/")

注销一个用户，在你的视图中使用 django.contrib.auth.logout() 。该函数接受一个 HttpRequest 对象作为参数，没有返回值。

from django.contrib import auth 
def logout(request): 
    auth.logout(request) 
    # Redirect to a success page. 
    return redirect("/account/loggedout/")
#注意，即使用户没有登录， logout() 也不会抛出任何异常。