Django - 用户认证组件

时间 2019-12-07

原文原文链接

前提：

    用户认证组件：

        功能：用session记录登陆验证状态

        前提：用户表：django自带的auth_user表

        建立超极用户：Python3 manage.py createsuperuser


        API:
            from django.contrib import auth:

                1 # 若是 验证成功返回user对象，不然返回None
                    user = auth.authenticate(username=user, password=pwd)

                2 auth.login(request, user)   # session注册login， request.user:当前登陆对象,若没有就是个匿名对象(全局对象)

                3 auth.logout(request) # 注销

            from django.contrib.auth.models import User # User==auth_user

                4 request.user.is_authenticated:  # 是否经过校验

                5 user = User.objects.create_user(username='',password='',email='')  # 注册用户

        补充：
            匿名用户对象：



        总结：

            if not: auth.login(request,user) request.user == AnonymousUser()

            else:reuqest.user==登陆对象

            reuqest.user是一个全局变量，能够在任何视图和模板直接使用



以前咱们本身建立session获得django_session表中，一个浏览器登陆两个用户的时候他们的session_key不变，第二个用户省下的内容会进行更新

可是，当咱们引入用户认证组件的时候，一个浏览器登陆两个用户的时候，全部的内容都会改变，以下，登陆mumu和mm两个用户在django_session表中数据：(第二条数据会覆盖第一条数据)

session_key                            session_data                                                                                                                                                                                                                                                           expire_date
hdnc2g9a6fuqf7svei9lb28vage8f0vz    N2Q1MjQ5MTBmMjMzZmVmYmJlMWE5YmE0NDA2ZTM4NGFkNWM1MWIzNzp7Il9hdXRoX3VzZXJfYmFja2VuZCI6ImRqYW5nby5jb250cmliLmF1dGguYmFja2VuZHMuTW9kZWxCYWNrZW5kIiwiX2F1dGhfdXNlcl9pZCI6IjEiLCJfYXV0aF91c2VyX2hhc2giOiJjM2Q4YmVmZmY0OTk0NDQwZmUxN2MyNzQ3MTkxMzljNjRhM2FmMWMwIn0           2019-03-01 08:21:08.066179
hrzi7dm7nmskrn3m1usofdg5edn6ar76    ZTczOTlkMzM2M2EyNmExZTZhYzU3YjlhZWQ3ZDU0MDY4N2Q1ZjAyNTp7Il9hdXRoX3VzZXJfaGFzaCI6ImY3NTc2ZmExNjYwNmU4YmQwZmZkMzRiYjdmYWNlZGY5ZTVlOTAzZjciLCJfYXV0aF91c2VyX2JhY2tlbmQiOiJkamFuZ28uY29udHJpYi5hdXRoLmJhY2tlbmRzLk1vZGVsQmFja2VuZCIsIl9hdXRoX3VzZXJfaWQiOiIyIn0           2019-03-01 08:36:15.915105



############################################

F:\Python全栈开发_中级\第六模块\Web开发\authDemo>python manage.py makemigrations
No changes detected

问题解决方法：
    先 python manage.py makemigrations --empty yourappname 生成一个空的initial.py

    再 python manage.py makemigrations 生成原先的model对应的migration file

笔记

一.基于用户认证组件的登陆验证信息储存

from django.contrib import auth
django.contrib.auth中提供了许多方法，这里主要介绍其中的三个：

 

authenticate()   

提供了用户认证，即验证用户名以及密码是否正确,通常须要username  password两个关键字参数

若是认证信息有效，会返回一个  User  对象。authenticate()会在User 对象上设置一个属性来标识后端已经认证了该用户，且该信息在后续的登陆过程当中是须要的。

当咱们试图登录一个从数据库中直接取出来不通过authenticate()的User对象时会报错！！！

user = authenticate(username='theuser',password='thepassword')
 

login(HttpRequest, user)　

该函数接受一个HttpRequest对象，以及一个认证了的User对象

此函数使用django的session框架给某个已认证的用户附加上session id等信息。

复制代码
from django.contrib.auth import authenticate, login
   
def my_view(request):
  username = request.POST['username']
  password = request.POST['password']
  user = authenticate(username=username, password=password)
  if user is not None:
    login(request, user)
    # Redirect to a success page.
    ...
  else:
    # Return an 'invalid login' error message.
    ...
复制代码
 

logout(request) 注销用户　

from django.contrib.auth import logout
   
def logout_view(request):
  logout(request)
  # Redirect to a success page.
该函数接受一个HttpRequest对象，无返回值。当调用该函数时，当前请求的session信息会所有清除。该用户即便没有登陆，使用该函数也不会报错

auth模块

User 对象属性：username， password（必填项）password用哈希算法保存到数据库

is_staff ： 用户是否拥有网站的管理权限.

is_active ： 是否容许用户登陆, 设置为``False``，能够不用删除用户来禁止 用户登陆

 

user对象的 is_authenticated()

若是是真正的 User 对象，返回值恒为 True 。 用于检查用户是否已经经过了认证。
经过认证并不意味着用户拥有任何权限，甚至也不检查该用户是否处于激活状态，这只是代表用户成功的经过了认证。 这个方法很重要, 在后台用request.user.is_authenticated()判断用户是否已经登陆，若是true则能够向前台展现request.user.name

要求：

1  用户登录后才能访问某些页面，

2  若是用户没有登陆就访问该页面的话直接跳到登陆页面

3  用户在跳转的登录界面中完成登录后，自动访问跳转到以前访问的地址

方法一：

def my_view(request):
  if not request.user.is_authenticated():
    return redirect('%s?next=%s' % (settings.LOGIN_URL, request.path))
方法二：

django已经为咱们设计好了一个用于此种状况的装饰器：login_requierd()

from django.contrib.auth.decorators import login_required
      
@login_required
def my_view(request):
  ...
若用户没有登陆，则会跳转到django默认的 登陆URL '/accounts/login/ ' (这个值能够在settings.py文件中经过LOGIN_URL进行修改)。并传递  当前访问url的绝对路径 (登录成功后，会重定向到该路径)。

 

建立用户

使用 create_user 辅助函数建立用户:

from django.contrib.auth.models import User
user = User.objects.create_user（username='',password='',email=''）
 

check_password(passwd)

用户须要修改密码的时候，首先要让其输入原来的密码 ，若是给定的值经过了密码检查，返回 True

 

修改密码

使用 set_password() 来修改密码

user = User.objects.get(username='')
user.set_password(password='')
user.save()
 


http://www.cnblogs.com/yuanchenqi/articles/9064397.html

https://www.cnblogs.com/liwenzhou/p/9030211.html

User对象

用户认证组件：逻辑更完善！！严谨
本身写得 存 session字段必需要都一致，然而有一些超级用户和普通用户应该不同！！
http://www.cnblogs.com/yuanchenqi/articles/9064397.html

前提：
    用户认证组件前提：
        功能：用session记录登陆验证状态

        前提：用户表：django auth-user   # 用户认证组件表   扩展 auth-user one2one 或继承

        建立超级用户： python3 manage.py createsuperuser

        API:
            from django.contrib import auth
            from django.contrib.auth.models import User   # User == auth_user

                1.auth.authenticate()
                2.auth.login()      # request.user 当前用户对象  是 auth-user表对象 全局可随便用
                3.auth.logout()

                4.request.user.is_authenticated

                5.User.objects.create_user()
                6.user.set_password()

                补充：
                    匿名用户对象：
                    class models.AnonymousUser

                    django.contrib.auth.models.AnonymousUser 类实现了django.contrib.auth.models.User 接口，但具备下面几个不一样点：

                    id 永远为None。
                    username 永远为空字符串。
                    get_username() 永远返回空字符串。
                    is_staff 和 is_superuser 永远为False。
                    is_active 永远为 False。
                    groups 和 user_permissions 永远为空。
                    is_anonymous() 返回True 而不是False。
                    is_authenticated() 返回False 而不是True。
                    set_password()、check_password()、save() 和delete() 引起 NotImplementedError。
                    New in Django 1.8:
                    新增 AnonymousUser.get_username() 以更好地模拟 django.contrib.auth.models.User。

        总结：
            if not auth.login(request,user)
                request.user  == AnonymouseUser()
            else:
                request.user == 登陆对象

            request.user 是一个全局变量  在任何视图和模板直接使用！！

示例：
    from django.contrib import auth
    # 验证成功返回user对象，不然返回None

    def login(request):
        user = request.POST.get('name')
        pwd = request.POST.get('pwd')
        user = auth.authenticate(username=user,password=pwd)
        if user:
            auth.login(request,user)  # request.user  =  当前登陆对象 ， 没有登陆 取出来得是匿名用户(AnonymousUser)
                                      # session表里的 session-id session-data 一个浏览器，不一样得用户，两个字段都会变
                                      # 本身写得session session-id 不会变 不一样用户，同一浏览器，只会变session-data
            return redirect('/index/')

        return render(request,'login.html')

    def index(request):
        print(request.user)
        print(request.user.username)
        print(request.user.id)
        print(request.user.is_anonymouse)

        # if request.user.is_anonymous:
        if not request.user.is_authenticated:

            return redirect('/login/')

        return render(request,'index.html')

    <h3>hi,{{ request.user.username }}</h3>


    def logout(request):
        auth.logout(request)
        return redirect('/login/')

    from django.contrib.auth.models import User

    def reg(request):
        if request.method == 'POST':
            user = request.POST.get('user')
            pwd = request.POST.get('pwd')

            # User.objects.create(username = user, password = pwd )   # 不能用这个 pwd 是明文
            user = User.objects.create_user(username = user, password = pwd )

            return redirect('/login/')

        return render(request,'reg.html')


    修改密码：
        user = User.objects.get(username = '')
        user.set_password(password = '')
        user.save()


    基于用户认证组件 得 认证装饰器： ( @login_required )
        from django.contrib.auth.decorators import login_required
        settings:
        LOGIN_URL = '/login/'  # 一会跳转到哪里去！！  # http://127.0.0.1:8000/login/?next=/index/

        def login(request):
            user = request.POST.get('name')
            pwd = request.POST.get('pwd')
            user = auth.authenticate(username=user,password=pwd)

            if user:
                auth.login(request,user)
                next_url = request.GET.get('next','/index/')
                return redirect(next_url)

         return render(request,'login.html')

        @login_required
        def index(request):

            return render(request,'index.html')

线上用户认证组件

　　views.pyhtml

# -*- encoding:utf-8 -*-
from django.shortcuts import render, HttpResponse, redirect

# Create your views here.

from django.contrib import auth  # 导入模块
from django.contrib.auth.models import User  # 导入用户表

def login(request):

    if request.method == "POST":
        user = request.POST.get("user")
        pwd = request.POST.get("pwd")

        '''
            正常咱们本身建表，下面认证须要引入咱们本身的表进行过滤，可是咱们如今
            使用的是django建的表auth_user表，因此要用下面几步：
            
            1. 导入模块 from django.contrib import auth
            2. 过滤数据
        '''
        # 若是 验证成功返回user对象，不然返回None
        user = auth.authenticate(username=user, password=pwd)

        if user:
            auth.login(request, user) # session注册login， request.user:当前登陆对象,若没有就是个匿名对象

            return redirect("/index/") return render(request, "login.html")


def index(request):

    # print("request.user:", request.user)
    # print("username:", request.user.username)
    # print("id:", request.user.id)
    # print("is_anonymous:", request.user.is_anonymous)
    '''
        没有登陆的时候，访问index页面的时候，request.user会获得一个匿名用户AnonymousUser
        上述输出以下：
            request.user: AnonymousUser
            username: 
            id: None
            is_anonymous: True
            
        登陆以后，访问index获得以下输出：
            request.user: mumu
            username: mumu
            id: 1
            is_anonymous: False
    '''

    if request.user.is_anonymous: # 是不是匿名函数
    # if not request.user.is_authenticated:  # 是否经过校验
    #         return redirect("/login/")
    #
    username = request.user.username

    return render(request, "index.html", {"username": username})

　　login.htmlpython

<!DOCTYPE html>
<html lang="en">
<head>
    <meta charset="UTF-8">
    <title>Title</title>
</head>
<body>
    <h3>登陆用户</h3>
    <form action="" method="post">
        {% csrf_token %}
        用户名 <input type="text" name="user">
        密码 <input type="password" name="pwd">
        <input type="submit" value="submit">
    </form>

</body>
</html>

　　index.html算法

<!DOCTYPE html>
<html lang="en">
<head>
    <meta charset="UTF-8">
    <title>Title</title>
</head>
<body>

    <h3>Hi,{{ username }}!</h3>
{#    <h3>Hi,{{ request.user.username }}!</h3>#}  {# 因为request.user在整个项目中是个全局变量，因此不须要在视图中传入数据映射到模板中 #}

</body>
</html>

建立用户：

C:\Users\Administrator\PycharmProjects\authDemo>python manage.py createsuperuser
Username (leave blank to use 'administrator'): mm
Email address:
Password:mm123456
Password (again):mm123456
Superuser created successfully.

建立成功后获得的auth_user表：数据库

更新的时候它不像以前那样子，它把session_key 和session_data数据都更新了，以前都是只更新session_data，如今逻辑跟严谨了。django

二.注册/注销用户功能

　　views.py后端

def logout(request): # 注销

    auth.logout(request)     return redirect("/login/")

def reg(request): # 注册

    if request.method == "POST":
        # 获取user和pwd方便插入数据库
        user = request.POST.get("user")
        pwd = request.POST.get("pwd")

        # User.objects.create(username=user, password=pwd)  # 这种方式是不对的，插入的是明文，而实际表中须要的是密文
        user = User.objects.create_user(username=user, password=pwd)  # 这种方法会转为密文

        return redirect("/login/")

    return render(request, "reg.html")

　　reg.html浏览器

<!DOCTYPE html>
<html lang="en">
<head>
    <meta charset="UTF-8">
    <title>Title</title>
</head>
<body>
    <h3>注册用户</h3>
    <form action="" method="post">
        {% csrf_token %}
        用户名 <input type="text" name="user">
        密码 <input type="password" name="pwd">
        <input type="submit" value="submit">
    </form>

</body>
</html>

　　index.htmlsession

<!DOCTYPE html>
<html lang="en">
<head>
    <meta charset="UTF-8">
    <title>Title</title>
</head>
<body>

    <h3>Hi,{{ username }}!</h3>
{#    <h3>Hi,{{ request.user.username }}!</h3>#}  {# 因为request.user在整个项目中是个全局变量，因此不须要在视图中传入数据映射到模板中 #}

    <a href="/logout/">注销</a>
</body>
</html>

一点击注销按钮，就把django_session里边的记录都给清除了。app

三.基于用户认证组件的认证装饰器

若是是真正的 User 对象，返回值恒为 True 。用于检查用户是否已经经过了认证。
经过认证并不意味着用户拥有任何权限，甚至也不检查该用户是否处于激活状态，这只是代表用户成功的经过了认证。这个方法很重要, 在后台用request.user.is_authenticated()判断用户是否已经登陆，若是true则能够向前台展现request.user.name框架

要求：

1 用户登录后才能访问某些页面，

2 若是用户没有登陆就访问该页面的话直接跳到登陆页面

3 用户在跳转的登录界面中完成登录后，自动访问跳转到以前访问的地址

方法一：

def order(request):
    print("order")

    if not request.user.is_authenticated:
    
        redirect("/login/")

    return render(request, "order.html")

方法二：

django已经为咱们设计好了一个用于此种状况的装饰器：login_requierd()

先在settings里边设置下我要跳转到哪一个页面

STATIC_URL = '/static/' LOGIN_URL = "/login/"  #跳转到哪里由我本身决定; 不加这个django会给你默认跳转到 127.0.0.1:8000/accounts/login/?next=/index/;设置好这个后跳转到:/login/?next=/index/（是访问index进行跳转的）

　　view.py

# -*- encoding:utf-8 -*-

from django.shortcuts import render, HttpResponse, redirect

# Create your views here.

from django.contrib import auth  # 导入模块
from django.contrib.auth.models import User  # 导入用户表
from django.contrib.auth.decorators import login_required # 认证装饰器

def login(request):

    if request.method == "POST":
        user = request.POST.get("user")
        pwd = request.POST.get("pwd")

        '''
            正常咱们本身建表，下面认证须要引入咱们本身的表进行过滤，可是咱们如今
            使用的是django建的表auth_user表，因此要用下面几步：
            
            1. 导入模块 from django.contrib import auth
            2. 过滤数据
        '''
        # 若是 验证成功返回user对象，不然返回None
        user = auth.authenticate(username=user, password=pwd)

        if user:
            auth.login(request, user)   # session注册login， request.user:当前登陆对象,若没有就是个匿名对象

            # return redirect("/index/") # 切勿写死，能够根据获取的值来跳转
            next_url = request.GET.get('next', '/index/') # 若是取不到，跳转到index

            return redirect(next_url)  # 动态的根据参数来配

    return render(request, "login.html") 

@login_required() # 有了装饰器，就不须要写下面的认证了
def index(request):

    # print("request.user:", request.user)
    # print("username:", request.user.username)
    # print("id:", request.user.id)
    # print("is_anonymous:", request.user.is_anonymous)
    '''
        没有登陆的时候，访问index页面的时候，request.user会获得一个匿名用户AnonymousUser
        上述输出以下：
            request.user: AnonymousUser
            username: 
            id: None
            is_anonymous: True
            
        登陆以后，访问index获得以下输出：
            request.user: mumu
            username: mumu
            id: 1
            is_anonymous: False
    '''

    # # if request.user.is_anonymous: # 是不是匿名函数
    # if not request.user.is_authenticated:  # 是否经过校验
    #         return redirect("/login/")
    #
    username = request.user.username

    return render(request, "index.html", {"username": username})


def logout(request):

    auth.logout(request)

    return redirect("/login/")

def reg(request):

    if request.method == "POST":
        # 获取user和pwd方便插入数据库
        user = request.POST.get("user")
        pwd = request.POST.get("pwd")

        # User.objects.create(username=user, password=pwd)  # 这种方式是不对的，插入的是明文，而实际表中须要的是密文
        user = User.objects.create_user(username=user, password=pwd)  # 这种方法会转为密文

        return redirect("/login/")

    return render(request, "reg.html")

@login_required()
def order(request):
    print("order")

    # if not request.user.is_authenticated:
    #
    #     redirect("/login/")    # 能够加装饰器，就不须要这样写了

    return render(request, "order.html")

　　若用户没有登陆，则会跳转到django默认的登陆URL '/accounts/login/ ' (这个值能够在settings文件中经过LOGIN_URL进行修改)。并传递当前访问url的绝对路径 (登录成功后，会重定向到该路径)。