Django:认证系统
分类：Django作者：编程之家用户
一,cookie和session
cookie不属于http协议范围，由于http协议无法保持状态，但实际情况，我们却又需要“保持状态”，因此cookie就是在这样一个场景下诞生。
cookie的工作原理是：由服务器产生内容，浏览器收到请求后保存在本地；当浏览器再次访问时，浏览器会自动带上cookie，这样服务器就能通过cookie的内容来判断这个是“谁”了。
cookie虽然在一定程度上解决了“保持状态”的需求，但是由于cookie本身最大支持4096字节，以及cookie本身保存在客户端，可能被拦截或窃取，因此就需要有一种新的东西，它能支持更多的字节，并且他保存在服务器，有较高的安全性。这就是session。
问题来了，基于http协议的无状态特征，服务器根本就不知道访问者是“谁”。那么上述的cookie就起到桥接的作用。
我们可以给每个客户端的cookie分配一个唯一的id，这样用户在访问时，通过cookie，服务器就知道来的人是“谁”。然后我们再根据不同的cookie的id，在服务器上保存一段时间的私密资料，如“账号密码”等等。
总结而言：cookie弥补了http无状态的不足，让服务器知道来的人是“谁”；但是cookie以文本的形式保存在本地，自身安全性较差；所以我们就通过cookie识别不同的用户，对应的在session里保存私密的信息以及超过4096字节的文本。
另外，上述所说的cookie和session其实是共通性的东西，不限于语言和框架
二,Django实现的cookie
1,获取cookie
request.COOKIES[=RAISE_ERROR,salt=,max_age=
2,设置cookie
rep =
rep.set_cookie(key,value,...)
rep.set_signed_cookie(key,salt=<span style="color: #800000">'<span style="color: #800000">加密盐<span style="color: #800000">',...)
def set_cookie(self,key,键
value='',值
max_age=None,超长时间
expires=None,超长时间
path='/',Cookie生效的路径，
浏览器只会把cookie回传给带有该路径的页面，这样可以避免将
cookie传给站点中的其他的应用。
/ 表示根路径，特殊的：根路径的cookie可以被任何url的页面访问
domain=None,Cookie生效的域名
你可用这个参数来构造一个跨站cookie。
如， domain=".example.com"
所构造的cookie对下面这些站点都是可读的：
www.example.com 、 www2.example.com
和an.other.sub.domain.example.com 。
如果该参数设置为 None ，cookie只能由设置它的站点读取。
secure=False,如果设置为 True ，浏览器将通过HTTPS来回传cookie。
httponly=False 只能http协议传输，无法被JavaScript获取
（不是绝对，底层抓包可以获取到也可以被覆盖）
): pass
<span style="color: #800000">'''
$.cookie(,{ path: });
三,Django实现的session
1,基本操作
1] =
2= request.session[3 request.session[4 request.session :
四,用户认证
1,auth模块
from django.contrib importauth
(1)
提供了用户认证，即验证用户名以及密码是否正确,一般需要username password两个关键字参数
user =authenticate(username='someone',password'somepassword')
(2)login(HttpRequest,user)
该函数接受一个HttpRequest对象，以及一个认证了的User对象
此函数使用django的session框架给某个已认证的用户附加上session id等信息。
django.contrib.auth <span style="color: #0000ff">def<span style="color: #000000"> my_view(request):
username = request.POST[<span style="color: #800000">'<span style="color: #800000">username<span style="color: #800000">'<span style="color: #000000">]
password = request.POST[<span style="color: #800000">'<span style="color: #800000">password<span style="color: #800000">'<span style="color: #000000">]
user = authenticate(username=username,password=<span style="color: #000000">password)
<span style="color: #0000ff">if user <span style="color: #0000ff">is <span style="color: #0000ff">not<span style="color: #000000"> None:
login(request,user)
<span style="color: #008000">#<span style="color: #008000"> Redirect to a success page.
<span style="color: #000000"> ...
<span style="color: #0000ff">else<span style="color: #000000">:
<span style="color: #008000">#<span style="color: #008000"> Return an 'invalid login' error message.
...
(3)logout(request)注销用户
django.contrib.auth <span style="color: #0000ff">def<span style="color: #000000"> logout_view(request):
logout(request)
<span style="color: #008000">#<span style="color: #008000"> Redirect to a success page.
(4)user对象的is_authenticated()
要求：
1 用户登陆后才能访问某些页面，
2 如果用户没有登录就访问该页面的话直接跳到登录页面
3 用户在跳转的登陆界面中完成登陆后，自动访问跳转到之前访问的地址
方法1:
redirect( % (settings.LOGIN_URL,request.path))
方法2:
django已经为我们设计好了一个用于此种情况的装饰器：login_requierd()
django.contrib.auth.decorators @login_required
<span style="color: #0000ff">def<span style="color: #000000"> my_view(request):
...
二,user对象
(1)is_authenticated()
如果是真正的 User 对象，返回值恒为 True 。 用于检查用户是否已经通过了认证。
通过认证并不意味着用户拥有任何权限，甚至也不检查该用户是否处于激活状态，这只是表明用户成功的通过了认证。 这个方法很重要,在后台用request.user.is_authenticated()判断用户是否已经登录，如果true则可以向前台展示request.user.name
(2)创建用户
使用 create_user 辅助函数创建用户:
django.contrib.auth.models = User.objects.create_user（username=,password=,email=）
(3)check_password(passwd)
用户需要修改密码的时候 首先要让他输入原来的密码 ，如果给定的字符串通过了密码检查，返回 True
(4)修改密码
user = User.objects.get(username==
