Django 用户验证与权限管理

本文介绍: Django还提供了权限控制的中间件，让用户可以在视图处理请求之前进行权限的校验，进一步加强了权限管理的灵活性和安全性。这也都正是我们选择和喜爱Django的原因之一。

Django是一款强大且灵活的Py th on We b 框架，不仅在构建功能复杂的网站应用中表现出色，还在诸如用户验证、权限管理等细微之处提供了优秀的解决方案。在多用户、权限复杂的We b 应用中，认证和权限管理尤其重要。接下来，我们就来探究一下Django 如何处理用户验证和权限管理的。

Django 自带的Us e r 模型及伴随的Django 框架对于只需要基本的访问授权和用户验证需求的应用来说已经足够了。下面，就让我们来实现一个用户登录的功能。

在视图中，我们主要使用Django提供的authenticate()和login()函数。

from django.contrib.auth import authenticate, login

def login_view(request):
    if request.method == 'POST':
        username = request.POST['username']       # 获取用户名
        password = request.POST['password']       # 获取密码
        user = authenticate(request, username=username, password=password)
        if user is not None:
            login(request, user)
            return redirect('/home/')
        else:
            return render(request, 'login.html', {'error': '用户名或密码错误'})
    else:
        return render(request, 'login.html')

此处，authenticate()函数会在给定的用户名和密码有效时返回一个User对象。如果用户名或密码无效，则authenticate()返回None。

在进行权限管理时，Django提供了三种级别的权限控制：模型级别、对象级别和视图级别。

模型级别的权限主要是针对整个模型的增、删、查、改进行设置。

class Meta:
    permissions = [
        ("view_project", "Can see available project"),
        ("add_project", "Can add project"),
        ("change_project", "Can edit project"),
        ("delete_project", "Can delete project"),
    ]

对象级别的权限管理允许你在单个对象（例如数据库中的一条记录）上设置权限，这对于实现更细粒度的权限控制非常有用。Django本身不直接支持对象级别权限，但可以通过第三方库如django-guardian来实现。

例如，使用 django-guardian，你可以为单个用户或用户组指定特定对象的权限：

from guardian.shortcuts import assign_perm

# 给用户分配某个特定项目的查看权限
assign_perm('view_project', user, project_instance)

from guardian.shortcuts import get_objects_for_user

def my_view(request):
    # 获取用户可以查看的所有项目
    projects = get_objects_for_user(request.user, 'app.view_project')
    ...

@login_required 和 @permission_required 是两个常用的视图级权限管理装饰器。例如：

from django.contrib.auth.decorators import login_required, permission_required

@login_required
@permission_required('app.view_project', raise_exception=True)
def project_detail(request, project_id):
    ...

这里，login_required 确保用户必须登录，而 permission_required 确保用户具有特定权限。

在基于类的视图（CBV）中，你可以使用混入类来控制权限。例如，使用 LoginRequiredMixin 和 PermissionRequiredMixin：

from django.contrib.auth.mixins import LoginRequiredMixin, PermissionRequiredMixin
from django.views.generic import DetailView

class ProjectDetailView(LoginRequiredMixin, PermissionRequiredMixin, DetailView):
    ...
    permission_required = 'app.view_project'