django-用户验证系统

django提供了一套用户验证系统，但是要使用这个系统，必须要使用django内置的用户模型：django.contrib.auth.models.User，这个模型中预先定义了一些字段，其中只有username和password是必须的。

 

username

用户名，该字段是必须的，长度限制版本之间可能存在差异，1.10为150个字符以内（其他版本为30个字符，存在版本差异）。可以是字母、数字、+、-、_、.、@。这几个字符。在1.10版本中，django正式支持utf-8的用户名（也就是不受字符限制了），当然前提是要使用python3.x的版本。

 

当然，你也可以使用max_length、min_length等属性来控制用户名的长短限制。下面的字段基本也适用。

 

django在1.10中实现了两个验证器，其会根据python版本自动选取，一般不用我们担心。可以使用username_validator（New in Django 1.10.）属性查看验证器：默认 validators.UnicodeUsernameValidator于Python 3 、validators.ASCIIUsernameValidator于Python 2.

 

当然我们也可以改变验证器，例如将python3的验证器改成ASCII的：

 

from django.contrib.auth.models import User
from django.contrib.auth.validators import ASCIIUsernameValidator
class CustomUser(User):
　　username_validator = ASCIIUsernameValidator()
　　class Meta:
　　　　proxy = True # If no new field is added.

上面我们首先子类化了User model，然后改变了username_validator属性，这也是标准的修改步骤。

 

password

密码，必须。django不会直接储存原始密码，而是储存经过处理之后的哈希值。所以在创建用户或修改密码的时候不能直接操作这个属性，而是使用django提供的专门的方法，下面会再说明。

 

email

可选，表示email地址。

 

first_name

可选，30个字符以内（在中文环境中应该用不上）

 

last_name

可选，30个字符以内

 

groups

Many-to-many relationship to Group

与Group属于多对多的关系，而Group表示的是用户组，由另一种表储存。

 

user_permissions

Many-to-many relationship to Permission

与Permission属于多对多的关系，而Permission表示的是权限，由另一种表储存。

关于权限的问题需要另外说明，这里暂时不讨论。

 

is_active

表用户是否是活跃的，是一个布尔值。django提议与其删除一个用户的所有信息，还不如将其设置为非活跃（即冻结）状态。这样不会破坏其他相关的外键关系，同时也拥有了后悔的可能。

 

注意：在1.10之前，django的后台验证程序不会检查用户是否处于活跃状态，也就是非活跃的用户依然可以登录，此时要自己进行状态验证，例如：

 

if user.is_active: # 若用户是活跃的，即未冻结的，在1.10之前冻结用户默认也能登录，所以需要自己认证
    login(request, user) # 登录
    ...... #其他处理
else:
    return HttpResponse('用户被冻结')

在1.10版本中，django的默认验证后台会拒绝冻结用户的访问了。当冻结的用户登录时，会无法通过 authenticate(username=None, password=None, **kwargs) 的验证，即该方法会返回None。

 

is_staff

是否为staff身份，布尔值。拥有staff身份的用户可以登录django的admin后台，且可以使用 staff_member_required(redirect_field_name='next', login_url='admin:login') 装饰器来进行访问控制。详情参考 django-访问控制 篇。

 

is_superuser

是否是superuser身份，布尔值。拥有该身份的用户将能够登录admin后台，并拥有所有注册模型的管理权限。

 

last_login

用户最后登录的时间。

 

date_joined

用户创建的时间。

 

以上就是django自带的用户认证系统使用的模型的全部字段了，也就是说django在数据库中储存的字段信息就是以上这些，如果需要扩展的话，有两种方法：

 

1.另外再写一个模型，用OneToOne的形式关联到User中：

 

 

from django.db import models
from django.contrib.auth.models import User

class UserInfo(models.Model):
    user = models.OneToOneField(User)
    head_img = models.ImageField()
    # 其它扩展

 

2.另写一个模型，直接继承User：

 

from django.db import models
from django.contrib.auth.models import User

class UserInfo(User):
    head_img = models.ImageField()
    # 其它扩展

 

无论哪种方法都可以，因为那些已经定义好的字段都是储存在User表中的，而新增的字段储存在另外的表中，只是使用OneToOne的时候，查询的入口略麻烦了些，详情参考django的models。

 

---

用户注册：

 

所谓的用户注册，其实就是在User表中新创建一条记录，而前面说过了，password字段储存的不是原始密码，而是加密后的字符串，所以不能直接对User对象的属性进行修改，而是要调用专用的函数：

 

>>> from django.contrib.auth.models import User >>> user = User.objects.create_user('john', 'lennon@thebeatles.com', 'johnpassword')

此时，用户就已经创建并放到数据库中了，这个方法比较特别，其自动为我们保存数据。

 

---

密码修改：

 

由于密码字段不能直接操作，所以django也提供了函数专门用来修改密码：

 

>>> from django.contrib.auth.models import User
>>> u = User.objects.get(username='john')
>>> u.set_password('new password')
>>> u.save()

这里有一个细节，它不像创建账户一样会直接保存的数据库中，而是调用User对象的save()方法，表示将修改保存到数据库中。

 

---

资料修改：

 

其他的字段可以通过直接修改对象属性的方法来修改数据，然后调用保存方法。

 

例如，我想修改用户的email：

 

request.user.email = date['email'] # date的表单提交上来的数据
request.user.save() # 保存修改

 

一般资料修改需要用户登录之后才能修改，而登录后的用户可以是使用request.user来获取当前登录的用户，然后我们直接对其email属性进行修改，数据来自于用户提交的表单（你可以直接将其看成'scolia@example.com'这样的直接的字面量）。最后我们调用其save方法，其实除了password相关的操作需要调用辅助函数之外，其他的基本都能这样修改，这也是模型数据修改的典型方法。

 

---

用户验证：

 

要实现我们平常需要的验证登录的功能，需要两个步骤，第一步是验证用户名和密码是否正确，第二步将用户登录。

 

from django.contrib.auth import authenticate

user = authenticate(username=date['user_name'], password=date['password'])

username和password两个参数分别接受要登录用户的用户名和密码，这里传的是明文。若验证通过，其会返回User对象，这个User对象记录了所用的用户信息，你可以对这个对象进行资料的修改等之类的操作。若登录失败则返回None。

 

用户登录：

 

验证成功之后，就可以进行登录操作了，django提供了专门的登录函数来处理这个工作：

 

from django.contrib.auth import authenticate, login

user = authenticate(username=date['user_name'], password=date['password'])

if user is not None:
    login(request, user)
    #.....
else:
    return HttpResponse('用户名或密码错误')

这里的核心思想就是登录失败后，返回的是None，而判断到user不为None，即验证成功了，就可以

进行登录操作了，否则返回错误。

 

这里详细的了解一下login这个函数：

 

 login(request, user, backend=None) 

 

其中request要求的是HttpRequest对象，也就是视图的第一个参数所接受到的对象，习惯性的使用request，user要求要登录的User对象，也就是验证成功后返回的User对象。backend是1.10中新增的，其作用是指定特点的后台程序，一般用不着，若有特殊需求可以参考django1.10的官方文档。

 

由于HTTP协议是无状态协议，所以使用的拓展的cookie和session首部来进行状态记录，django采用的是session，在登录成功后，django会给客户端设置session首部，其一般是一个用户的ID，而不是用户的详细信息。客户端登录后访问时都会回送这个ID，django接受到ID后找到对应的用户，从而得知当前的访问是哪个用户。实现了登录的功能。

 

---

用户注销：

 

上面说过用户的状态是通过session来记录的，也就是将session设置为空后，即丢失登录状态，这就是注销了。django同样提供了变量的函数来完成这个工作：

 

 

from django.contrib.auth import logout

def logout_view(request):
    logout(request) # Redirect to a success page.

让我们来认识一下这个函数：

 

 logout(request) 

 

其接收的只有一个参数，也就是当前的request对象。其所完成的就是重置session的工作。如果用户没有登录，也不会报错。

 

注意：这个还是会清空所有的session，也就是说如果你有不希望被删除的session的话，要先获取到相应的session，并在调用logout之后再将其收到添加进去。

 

---

 

这里初步解释了django中用户验证系统的使用，要获取更多信息可以查看官方文档，或者个人提供了一份略微翻译了的文档：http://note.youdao.com/yws/public/redirect/share?id=b67cd6af80e4c59da71c47b85b5f3253&type=false