文章目录
- 一、用户认证系统
- 二、案例：登陆认证
- 2.1 平台登入
- 2.2 平台登出
- 2.3 login_required装饰器
- 三、Django Session管理
- 3.1 Django使用Session
- 3.1.1 Cookie用法
- 3.1.2 Session用法
- 3.2 案例：用户登录认证
- 四、Django CSRF安全防护机制
一、用户认证系统
- Django内置一个用户认证系统，使用auth模块实现。
- auth模块提供了登录、注册、效验、修改密码、注销、验证用户是否登录等功能。
- Django默认创建的数据库表。
| 表名 | 作用 |
|---|---|
| auth_user | 用户表 |
| auth_user_groups | 用户所属组的表 |
| auth_user_user_permissions | 用户权限表 |
| auth_group | 用户组表 |
| auth_group_permissions | 用户组权限表 |
| auth_permission | 存放全部权限的表，其他的表的权限都是从此表中外键连接过去的 |
| django_session | 保存HTTP状态 |
| django_migrations | 数据库迁移记录 |
二、案例：登陆认证
2.1 平台登入
1.登陆成功，进入平台首页；登陆失败，返回错误信息。
###################################################
1、定义url路由规则，ORM/urls.py文件。
from django.contrib import admin
from django.urls import path,include,re_path
from ORM import views
urlpatterns = [path('admin/', admin.site.urls),re_path('^$',views.home),path('myapp/',include('myapp.urls')),path('login/',views.login)
]
###################################################
2、定义视图，ORM/views.py文件。
from django.shortcuts import render,HttpResponse,redirect
from django.contrib import auth
def home(request):return render(request,'index.html')
def login(request):if request.method == "GET":return render(request, 'login.html')elif request.method == "POST":username = request.POST.get('username')password = request.POST.get('password')user = auth.authenticate(username=username, password=password)if user:##验证通过后，将session信息保存到数据库中。auth.login(request, user) return redirect("/")else:msg = "用户名或密码错误！"return render(request,'login.html',{'msg':msg})
###################################################
3、定义html模板，templates/login.html
<!DOCTYPE html>
<html lang="en">
<head><meta charset="UTF-8"><title>管理后台页面</title>
</head>
<body>
<ht>欢迎访问管理后台</ht>
<form action="" method="post">用户名 : <input type="text" name="username"><br>密码 : <input type="text" name="password"><br><button type="submit">登录</button><span style="color: red">{{ msg }}</span>
</form>
</body>
</html>
###################################################
4、平台首页渲染模板templates/index.html，新增”退出登录“按钮。
<!DOCTYPE html>
<html lang="en">
<head><meta charset="UTF-8"><title>平台首页</title>
</head>
<body>
<h1>网站首页</h1>
<a href="/logout"><button>退出登录</button></a>
</body>
</html>
2.进入django管理后台，新增一个测试用户xiaoming，添加auth权限。
3.测试效果。
2.2 平台登出
- 就是清空django_session表中记录的用户登录状态信息，若数据存在该表中，则认定处于登陆状态；删除数据，则认定登出。
1.退出登录，返回到登陆页面。
###################################################
1、定义url路由规则，ORM/urls.py文件。
from django.contrib import admin
from django.urls import path,include,re_path
from ORM import views
urlpatterns = [path('admin/', admin.site.urls),re_path('^$',views.home),path('myapp/',include('myapp.urls')),path('login/',views.login),path('logout/',views.logout), ##新增url
]
###################################################
2、新增视图，ORM/views.py文件。
def logout(request):# 清除当前用户的session信息auth.logout(request)return redirect('/login')
2.3 login_required装饰器
- login_required装饰器：判断用户是否登录，如果没有登录引导至登录页面，登录成功后跳转到目的页面。
1.在settings.py文件设置没有登录默认跳转页面。
##文件末尾添加。
LOGIN_URL = '/login/'
2.在需要登录后才能访问页面的视图添加装饰器。
from django.contrib.auth.decorators import login_required@login_required() ##语法糖引用装饰器。
def user_add(request):............
3.效果验证。
三、Django Session管理
Session与Cookie是什么?
- 网站采用是HTTP协议，它本身就是一个无状态的，记不住我们上次来浏览器上做了什么事。
- 这时，服务器给每个用户贴了一个小纸条，上面记录了服务器给我们返回的一些信息。后面服务器看到这张小纸条就知道我们是谁了。
- 这个小纸条就是Cookie。
Cookie工作原理：
- 浏览器第一次访问服务器时，服务器此时肯定不知道它的身份，所以创建一个独特的身份标识数据，格式为key=value，放入到Set-Cookie字段里，随着响应报文发给浏览器。
- 浏览器看到有Set-Cookie字段以后就知道这是服务器给的身份标识，于是就保存起来，下次请求时会自动将此key=value值放入到Cookie字段中发给服务器。
- 服务器收到请求报文后，发现Cookie字段中有值，就能根据此值识别用户的身份然后提供个性化的服务。
Session的作用：
- 试想一下，如果将用户账户的一些信息都存入Cookie中的话，一旦信息被拦截，那么所有的账户信息都会可能被泄露丢，这是不安全的。
- 所以就出现了Session，在一次会话中将重要信息保存在Session中，浏览器只记录SessionId，一个SessionId对应一次会话请求。
3.1 Django使用Session
3.1.1 Cookie用法
- 在settings.py配置文件中设置客户端Cookie。
| 参数 | 描述 |
|---|---|
| SESSION_COOKIE_NAME ＝ “sessionid” | Session的cookie保存在浏览器上时的key 即：sessionid＝随机字符串（默认） |
| SESSION_COOKIE_PATH ＝ “/” | Session的cookie保存的路径（默认） |
| SESSION_COOKIE_DOMAIN = None | Session的cookie保存的域名（默认） |
| SESSION_COOKIE_SECURE = False | 是否Https传输cookie（默认） |
| SESSION_COOKIE_HTTPONLY = True | 是否Session的cookie只支持http传输（默认） |
| SESSION_COOKIE_AGE = 1209600 | Session的cookie失效日期（2周）（默认） |
| SESSION_EXPIRE_AT_BROWSER_CLOSE = False | 是否关闭浏览器使得Session过期（默认） |
| SESSION_SAVE_EVERY_REQUEST = False | 是否每次请求都保存Session，默认修改之后才保存（默认） |
1.设置Cookie过期时间，单位s。
##ORM/settings.py文件末尾添加此行。
SESSION_COOKIE_AGE = 30*60
2.设置关闭浏览器使得Session过期。
##ORM/settings.py文件末尾添加此行。
SESSION_EXPIRE_AT_BROWSER_CLOSE = True
3.1.2 Session用法
- 在视图中操作Session。
| 参数 | 描述 |
|---|---|
| request.session[‘key’] = value | 向Session写入键值 |
| request.session.get(‘key’,None) | 获取Session中键的值 |
| request.session.flush() | 清除Session数据 |
| request.session.set_expiry(value) | Session过期时间 |
1.自定义向Session写入键值，前端可以拿到该value值。
3.2 案例：用户登录认证
1.自己实现登陆验证功能。
############################################################################
##根据上文内容，将login接口试图修改成如下内容。
def login(request):if request.method == "GET":return render(request, 'login.html')elif request.method == "POST":username = request.POST.get('username')password = request.POST.get('password')if username =="qingjun" and password == "citms@123":#登录成功，is_login设置为Truerequest.session['is_login'] = True request.session[ 'username'] = username #保存用户名到数据库。return redirect("/")else:msg ="用户名或密码错误 !"return render(request,'login.html',{'msg': msg})############################################################################
1、定义装饰器，可以给其他视图引用，新增文件ORM/main.py。
from django.shortcuts import render,HttpResponse,redirect
def self_login_required(func):def inner(request):is_login = request.session.get('is_login', False)if is_login:return func(request)else:return redirect("/login")return inner
############################################################################
2、引用装饰器。
from ORM.main import self_login_required
@self_login_required
def home(request):return render(request, 'index.html')
2.查看效果。
四、Django CSRF安全防护机制
概念：
- CSRF（Cross Site Request Forgery）：跨站请求伪造，实现的原理是CSRF攻击者在用户已经登录目标网站之后，诱使用户访问一个攻击页面，利用目标网站对用户的信任，以用户身份在攻击页面对目标网站发起伪造用户操作的请求，达到攻击目的。
Django怎么验证一个请求是不是CSRF？
- Django处理客户端请求时，会生成一个随机Token，放到Cookie里一起返回，然后需要前端每次POST请求时带上这个Token，可以放到POST数据里键为csrfmiddlewaretoken，或者放到请求头键为X-CSRFToken，Django从这两个位置取，每次处理都会拦截验证，通过比对两者是否一致来判断这个请求是不是非法，非法就返回403状态码。
可以携带CSRF Token发送给服务端的方法：
- from表单添加{% csrf_token %}标签，表单会携带一同提交。
- 如果你是Ajax请求，需要把csrf token字符串（也是通过拿{% csrf_token %}标签产生的值）放到data里一起提交，并且键名为csrfmiddlewaretoken或者放到请求头传递服务端。
- 指定取消某函数视图CSRF防护。
1.Django默认启用CSRF保护机制，当有post请求时，就会被拦截。
2.此时可以给html模板中添加csrf标签，浏览器可以其值与表单一起提交给服务端。
3.还有其他两种方式。
##########################################################
方式2，不建议使用，建议在html模板中添加标签方式返回。
from django.views.decorators.csrf import csrf_exempt
@csrf_exempt
def index(request):
return render(request, 'index.html')
##########################################################
var csrf_token = $("[name='csrfmiddlewaretoken']").val();
var data = {'id': '123', 'csrfmiddlewaretoken': csrf_token};
$.ajax({type: "POST",url: "/api",data: data,dataType: 'json'
})
