当前位置：首页 > news >正文

Django基础7——用户认证系统、Session管理、CSRF安全防护机制

news 2026/2/7 15:57:08

文章目录

一、用户认证系统
二、案例：登陆认证
- 2.1 平台登入
- 2.2 平台登出
- 2.3 login_required装饰器
三、Django Session管理
- 3.1 Django使用Session
- - 3.1.1 Cookie用法
  - 3.1.2 Session用法
- 3.2 案例：用户登录认证
四、Django CSRF安全防护机制

一、用户认证系统

Django内置一个用户认证系统，使用auth模块实现。
auth模块提供了登录、注册、效验、修改密码、注销、验证用户是否登录等功能。

Django默认创建的数据库表。

表名	作用
auth_user	用户表
auth_user_groups	用户所属组的表
auth_user_user_permissions	用户权限表
auth_group	用户组表
auth_group_permissions	用户组权限表
auth_permission	存放全部权限的表，其他的表的权限都是从此表中外键连接过去的
django_session	保存HTTP状态
django_migrations	数据库迁移记录

二、案例：登陆认证

2.1 平台登入

1.登陆成功，进入平台首页；登陆失败，返回错误信息。

###################################################
1、定义url路由规则，ORM/urls.py文件。
from django.contrib import admin
from django.urls import path,include,re_path
from ORM import views
urlpatterns = [path('admin/', admin.site.urls),re_path('^$',views.home),path('myapp/',include('myapp.urls')),path('login/',views.login)
]
###################################################
2、定义视图，ORM/views.py文件。
from django.shortcuts import render,HttpResponse,redirect
from django.contrib import auth
def home(request):return render(request,'index.html')
def login(request):if request.method == "GET":return render(request, 'login.html')elif request.method == "POST":username = request.POST.get('username')password = request.POST.get('password')user = auth.authenticate(username=username, password=password)if user:##验证通过后，将session信息保存到数据库中。auth.login(request, user)   return redirect("/")else:msg = "用户名或密码错误！"return render(request,'login.html',{'msg':msg})
###################################################
3、定义html模板，templates/login.html
<!DOCTYPE html>
<html lang="en">
<head><meta charset="UTF-8"><title>管理后台页面</title>
</head>
<body>
<ht>欢迎访问管理后台</ht>
<form action="" method="post">用户名 : <input type="text" name="username"><br>密码 : <input type="text" name="password"><br><button type="submit">登录</button><span style="color: red">{{ msg }}</span>
</form>
</body>
</html>
###################################################
4、平台首页渲染模板templates/index.html，新增”退出登录“按钮。
<!DOCTYPE html>
<html lang="en">
<head><meta charset="UTF-8"><title>平台首页</title>
</head>
<body>
<h1>网站首页</h1>
<a href="/logout"><button>退出登录</button></a>
</body>
</html>

2.进入django管理后台，新增一个测试用户xiaoming，添加auth权限。
在这里插入图片描述
3.测试效果。

2.2 平台登出

就是清空django_session表中记录的用户登录状态信息，若数据存在该表中，则认定处于登陆状态；删除数据，则认定登出。

1.退出登录，返回到登陆页面。

###################################################
1、定义url路由规则，ORM/urls.py文件。
from django.contrib import admin
from django.urls import path,include,re_path
from ORM import views
urlpatterns = [path('admin/', admin.site.urls),re_path('^$',views.home),path('myapp/',include('myapp.urls')),path('login/',views.login),path('logout/',views.logout),   ##新增url
]
###################################################
2、新增视图，ORM/views.py文件。
def logout(request):# 清除当前用户的session信息auth.logout(request)return redirect('/login')

2.3 login_required装饰器

login_required装饰器：判断用户是否登录，如果没有登录引导至登录页面，登录成功后跳转到目的页面。

1.在settings.py文件设置没有登录默认跳转页面。

##文件末尾添加。
LOGIN_URL = '/login/'

2.在需要登录后才能访问页面的视图添加装饰器。

from django.contrib.auth.decorators import login_required@login_required()    ##语法糖引用装饰器。
def user_add(request):............

3.效果验证。
在这里插入图片描述

三、Django Session管理

Session与Cookie是什么?

网站采用是HTTP协议，它本身就是一个无状态的，记不住我们上次来浏览器上做了什么事。
这时，服务器给每个用户贴了一个小纸条，上面记录了服务器给我们返回的一些信息。后面服务器看到这张小纸条就知道我们是谁了。
这个小纸条就是Cookie。

Cookie工作原理：

浏览器第一次访问服务器时，服务器此时肯定不知道它的身份，所以创建一个独特的身份标识数据，格式为key=value，放入到Set-Cookie字段里，随着响应报文发给浏览器。
浏览器看到有Set-Cookie字段以后就知道这是服务器给的身份标识，于是就保存起来，下次请求时会自动将此key=value值放入到Cookie字段中发给服务器。
服务器收到请求报文后，发现Cookie字段中有值，就能根据此值识别用户的身份然后提供个性化的服务。

Session的作用：

试想一下，如果将用户账户的一些信息都存入Cookie中的话，一旦信息被拦截，那么所有的账户信息都会可能被泄露丢，这是不安全的。
所以就出现了Session，在一次会话中将重要信息保存在Session中，浏览器只记录SessionId，一个SessionId对应一次会话请求。

3.1 Django使用Session

3.1.1 Cookie用法

在settings.py配置文件中设置客户端Cookie。

参数	描述
SESSION_COOKIE_NAME ＝ “sessionid”	Session的cookie保存在浏览器上时的key 即：sessionid＝随机字符串（默认）
SESSION_COOKIE_PATH ＝ “/”	Session的cookie保存的路径（默认）
SESSION_COOKIE_DOMAIN = None	Session的cookie保存的域名（默认）
SESSION_COOKIE_SECURE = False	是否Https传输cookie（默认）
SESSION_COOKIE_HTTPONLY = True	是否Session的cookie只支持http传输（默认）
SESSION_COOKIE_AGE = 1209600	Session的cookie失效日期（2周）（默认）
SESSION_EXPIRE_AT_BROWSER_CLOSE = False	是否关闭浏览器使得Session过期（默认）
SESSION_SAVE_EVERY_REQUEST = False	是否每次请求都保存Session，默认修改之后才保存（默认）

1.设置Cookie过期时间，单位s。

##ORM/settings.py文件末尾添加此行。
SESSION_COOKIE_AGE = 30*60

在这里插入图片描述

2.设置关闭浏览器使得Session过期。

##ORM/settings.py文件末尾添加此行。
SESSION_EXPIRE_AT_BROWSER_CLOSE = True

在这里插入图片描述

3.1.2 Session用法

在视图中操作Session。

参数	描述
request.session[‘key’] = value	向Session写入键值
request.session.get(‘key’,None)	获取Session中键的值
request.session.flush()	清除Session数据
request.session.set_expiry(value)	Session过期时间

1.自定义向Session写入键值，前端可以拿到该value值。
在这里插入图片描述

3.2 案例：用户登录认证

1.自己实现登陆验证功能。

############################################################################
##根据上文内容，将login接口试图修改成如下内容。
def login(request):if request.method == "GET":return render(request, 'login.html')elif request.method == "POST":username = request.POST.get('username')password = request.POST.get('password')if username =="qingjun" and password == "citms@123":#登录成功，is_login设置为Truerequest.session['is_login'] = True  request.session[ 'username'] = username   #保存用户名到数据库。return redirect("/")else:msg ="用户名或密码错误 !"return render(request,'login.html',{'msg': msg})############################################################################
1、定义装饰器，可以给其他视图引用，新增文件ORM/main.py。
from django.shortcuts import render,HttpResponse,redirect
def self_login_required(func):def inner(request):is_login = request.session.get('is_login', False)if is_login:return func(request)else:return redirect("/login")return inner
############################################################################
2、引用装饰器。
from ORM.main import self_login_required
@self_login_required
def home(request):return render(request, 'index.html')

2.查看效果。
在这里插入图片描述

四、Django CSRF安全防护机制

概念：

CSRF（Cross Site Request Forgery）：跨站请求伪造，实现的原理是CSRF攻击者在用户已经登录目标网站之后，诱使用户访问一个攻击页面，利用目标网站对用户的信任，以用户身份在攻击页面对目标网站发起伪造用户操作的请求，达到攻击目的。

Django怎么验证一个请求是不是CSRF？

Django处理客户端请求时，会生成一个随机Token，放到Cookie里一起返回，然后需要前端每次POST请求时带上这个Token，可以放到POST数据里键为csrfmiddlewaretoken，或者放到请求头键为X-CSRFToken，Django从这两个位置取，每次处理都会拦截验证，通过比对两者是否一致来判断这个请求是不是非法，非法就返回403状态码。

可以携带CSRF Token发送给服务端的方法：

from表单添加{% csrf_token %}标签，表单会携带一同提交。
如果你是Ajax请求，需要把csrf token字符串（也是通过拿{% csrf_token %}标签产生的值）放到data里一起提交，并且键名为csrfmiddlewaretoken或者放到请求头传递服务端。
指定取消某函数视图CSRF防护。

1.Django默认启用CSRF保护机制，当有post请求时，就会被拦截。
在这里插入图片描述
2.此时可以给html模板中添加csrf标签，浏览器可以其值与表单一起提交给服务端。

3.还有其他两种方式。

##########################################################
方式2，不建议使用，建议在html模板中添加标签方式返回。
from django.views.decorators.csrf import csrf_exempt
@csrf_exempt
def index(request):
return render(request, 'index.html')
##########################################################
var csrf_token = $("[name='csrfmiddlewaretoken']").val();
var data = {'id': '123', 'csrfmiddlewaretoken': csrf_token};
$.ajax({type: "POST",url: "/api",data: data,dataType: 'json'
})

Django基础7——用户认证系统、Session管理、CSRF安全防护机制

文章目录一、用户认证系统二、案例：登陆认证2.1 平台登入2.2 平台登出2.3 login_required装饰器三、Django Session管理3.1 Django使用Session3.1.1 Cookie用法3.1.2 Session用法 3.2 案例：用户登录认证四、Django CSRF安全防护机制一、用户认证系统…...

编程日记 2023/8/30 1:51:07

基于流计算 Oceanus（Flink） CDC 做好数据集成场景

由于第一次做实时，所以踩坑比较多，见谅(测试环境用的flink),小公司没有用到hadoop组件一、踩坑记录 1:本地代码的flink版本是flink1.15.4，生产环境是flink1.16.1，在使用侧输出流时报错，需要使用以下写法,需要使用Si…...

编程日记 2023/8/30 1:50:05

MySQL8.Xx安装控制台未生成随机密码解决方案

MySQL8.xx一主两从复制安装与配置 MySQL8.XX随未生成随机密码解决方案 MySQL8.0.30一主两从复制与配置(一) 一: Mysql 安装时控制台未生成密码安装过程中解压或者安装时报错等,这种情况一般是因网络等其他原因导致下载的安装包不完整， 重新下载安装即可; 二:…...

编程日记 2023/8/30 1:49:04

安装VS2005时提示：请插入磁盘:visual studio 2005 DVD

安装VS2005时提示：请插入磁盘:visual studio 2005 DVD 修改卷标为 "DVD1"...

编程日记 2023/8/30 1:48:01

OpenVINO2023使用简介

1 下载安装先在anaconda中创建一个虚拟环境，该环境的python版本为3.7，之所以使用python3.7，是因为我在3.9上安装过程中出现不少bug，后面新建了一个3.7的环境才解决，我不知道是否由于和我已有环境中某些包不兼容&…...

编程日记 2023/8/30 1:47:00

基于React实现无限滚动的日历详细教程，附源码【手写日历教程第二篇】

前言最常见的日历大部分都是滚动去加载更多的月份，而不是让用户手动点击按钮切换日历月份。滚动加载的交互方式对于用户而言是更加丝滑和舒适的，没有明显的操作割裂感。那么现在需要做一个这样的无限滚动的日历，前端开发者应该如何去思考…...

编程日记 2023/8/30 1:45:59

68、使用aws官方的demo和配置aws服务，进行视频流上传播放

基本思想：参考官方视频，进行了配置aws，测试了视频推流，rtsp和mp4格式的视频貌似有问题，待调研和解决第一步：1) 进入aws的网站，然后进入ioT Core 2)先配置 Thing types & Thing，选择香港的节点，然后AWS ioT--->Manage---> Thing type 然后输入名字，创建Th…...

编程日记 2023/8/30 1:44:58

数据库

表记录：行字段（属性）: 列以行列的形式就组成了表（数据存储在表中） 关系数据库的表由记录组成，记录由字段组成，字段由字符或数字组成。它可以供各种用户共享， 具有最小冗余度和较高…...

编程日记 2023/8/30 1:43:56

深入了解fcntl函数：Linux系统编程中的文件控制

文章目录概述介绍函数原型与参数拓展：fcntl改文件属性总结概述摘要: fcntl函数是Linux系统编程中一个重要的函数，用于对文件描述符进行各种控制操作。本文将详细介绍fcntl函数的原型、各个参数的用法，以及阻塞和非阻塞模式切换的方法&am…...

编程日记 2023/8/30 1:42:55

汇川技术内推码

[庆祝]不一样的内推码[庆祝]：IVSM2R 投递了可以评论下名字，我会帮忙留意进度。汇尔成川，共赴星海，欢迎加入，职等你来。嵌入式软硬件，机器人算法，电机控制，通信软件，PLC…...

编程日记 2023/8/30 1:41:54

nacos服务器启动报错集合

报错1 Error creating bean with name ‘user‘: Unsatisfied dependency expressed through field ‘jwtTokenManage 开启鉴权之后，你可以自定义用于生成JWT令牌的密钥，application.properties中的配置信息为： ### Since 1.4.1, worked when…...

编程日记 2023/8/30 1:40:53

C语言_分支和循环语句（2）

文章目录前言一、for 循环1.1语法1.2 for 语句的循环控制变量1.3 一些 for 循环的变种二、do ... while()循环2.1 do 语句的语法2.2 do ... while 循环中的 break 和 continue2.3 练习1 **- 计算n的阶乘**2. - **在一个有序数组中查找具体的某个数字 n** 二分查找算法&#x…...

编程日记 2023/8/30 1:39:52

JMeter 接口自动化测试：从入门到精通的完全指南

JMeter 是一个开源的负载测试工具，它可以模拟多种协议和应用程序的负载，包括 HTTP、FTP、SMTP、JMS、SOAP 和 JDBC 等。在进行接口自动化测试时，使用 JMeter 可以帮助我们快速地构建测试用例，模拟多种场景，发现接口的性…...

编程日记 2023/8/30 1:38:50

【Java】集合List的toArray()方法及其重载

在Java中，集合（List 接口的实现类）提供了一个名为 toArray 的方法，用于将集合中的元素转换成数组。该方法有两个主要的重载形式，分别用于不同的情况。 toArray()重载方法1 <T> T[] toArray(T[] a)这个方法将集…...

编程日记 2023/8/30 1:37:49

Python学习笔记：Requests库安装、通过url下载文件

1.下载安装requests库在pipy或者github下载，通常是个zip，解压缩后在路径输入cmd，并运行以下代码 Python setup.py install 安装完成后，输入python再输入import requests得到可以判断时候完成安装 2.通过url下载文件使用的是u…...

编程日记 2023/8/30 1:36:47

git pull --rebase 用法

git pull --rebase git pull --rebase 是 Git 命令中的一个选项，它的作用是在从远程仓库拉取更新时使用 rebase 而不是默认的合并方式。使用这个命令会使您的提交历史更加整洁，因为它将您的本地提交在远程更新之前重新应用到新的提交之上。这个命令的…...

编程日记 2023/8/30 1:35:46

react antd框架中的徽标获取数据对应状态的数量

实现思路：获取数量的思路是通过filter过滤符合数据来实现。列表数组.filter(item > item.status 值).length; 例子：以下这个例子是判断data数组中的status中在职的数量。 data.filter((item) > item.status 在职).length 效果展示&#xff…...

编程日记 2023/8/30 1:34:44

文章目录 1. Thread类的创建1.1 自己创建类继承Thread类1.2 实现Runnable接口1.3 使用匿名内部类创建Thread子类对象1.4 使用匿名内部类创建Runnable子类对象1.5 使用lambda创建 2. Thread常见的构造方法2.1 Thread()2.2 Thread(Runnable target)2.3 Thread(String name)2.4 Th…...

编程日记 2023/8/30 1:33:42

第八章贪心算法 part03 1005.K次取反后最大化的数组和 134. 加油站 135. 分发糖果（day34补）

本文章代码以c为例！ 一、力扣第1005题：K 次取反后最大化的数组和题目: 给你一个整数数组 nums 和一个整数 k ，按以下方法修改该数组： 选择某个下标 i 并将 nums[i] 替换为 -nums[i] 。重复这个过程恰好 k 次。可以多次选择…...

编程日记 2023/8/30 1:32:40

Android Activity启动过程一：从Intent到Activity创建

关于作者：CSDN内容合伙人、技术专家， 从零开始做日活千万级APP。专注于分享各领域原创系列文章 ，擅长java后端、移动开发、人工智能等，希望大家多多支持。目录一、概览二、应用内启动源码流程 (startActivity)2.1 startActivit…...

编程日记 2023/8/30 1:31:39

云原生核心技术 (7/12): K8s 核心概念白话解读(上)：Pod 和 Deployment 究竟是什么？

大家好，欢迎来到《云原生核心技术》系列的第七篇！ 在上一篇，我们成功地使用 Minikube 或 kind 在自己的电脑上搭建起了一个迷你但功能完备的 Kubernetes 集群。现在，我们就像一个拥有了一块崭新数字土地的农场主，是时…...

编程新知 2025/12/14 22:32:59

零门槛NAS搭建：WinNAS如何让普通电脑秒变私有云？

一、核心优势：专为Windows用户设计的极简NAS WinNAS由深圳耘想存储科技开发，是一款收费低廉但功能全面的Windows NAS工具，主打“无学习成本部署” 。与其他NAS软件相比，其优势在于： 无需硬件改造：将任意W…...

编程新知 2026/1/2 23:01:24

【HarmonyOS 5.0】DevEco Testing：鸿蒙应用质量保障的终极武器

——全方位测试解决方案与代码实战一、工具定位与核心能力 DevEco Testing是HarmonyOS官方推出的一体化测试平台，覆盖应用全生命周期测试需求，主要提供五大核心能力： 测试类型检测目标关键指标功能体验基…...

编程新知 2026/1/28 8:17:53

【位运算】消失的两个数字（hard）

消失的两个数字（hard） 题⽬描述：解法（位运算）：Java 算法代码：更简便代码题⽬链接：⾯试题 17.19. 消失的两个数字题⽬描述： 给定⼀个数组，包含从 1 到 N 所有…...

编程新知 2025/11/15 16:18:24

ETLCloud可能遇到的问题有哪些？常见坑位解析

数据集成平台ETLCloud，主要用于支持数据的抽取（Extract）、转换（Transform）和加载（Load）过程。提供了一个简洁直观的界面，以便用户可以在不同的数据源之间轻松地进行数据迁移和转换。…...

编程新知 2026/2/3 12:56:31

Robots.txt 文件

什么是robots.txt？ robots.txt 是一个位于网站根目录下的文本文件（如：https://example.com/robots.txt），它用于指导网络爬虫（如搜索引擎的蜘蛛程序）如何抓取该网站的内容。这个文件遵循 Robots…...

编程新知 2025/9/9 5:38:23

USB Over IP专用硬件的5个特点

USB over IP技术通过将USB协议数据封装在标准TCP/IP网络数据包中，从根本上改变了USB连接。这允许客户端通过局域网或广域网远程访问和控制物理连接到服务器的USB设备（如专用硬件设备），从而消除了直接物理连接的需要。USB over IP的…...

编程新知 2026/2/6 13:42:22

保姆级教程：在无网络无显卡的Windows电脑的vscode本地部署deepseek

文章目录 1 前言2 部署流程2.1 准备工作2.2 Ollama2.2.1 使用有网络的电脑下载Ollama2.2.2 安装Ollama（有网络的电脑）2.2.3 安装Ollama（无网络的电脑）2.2.4 安装验证2.2.5 修改大模型安装位置2.2.6 下载Deepseek模型 2.3 将deepse…...

编程新知 2026/2/6 16:59:24

PostgreSQL——环境搭建

一、Linux # 安装 PostgreSQL 15 仓库 sudo dnf install -y https://download.postgresql.org/pub/repos/yum/reporpms/EL-$(rpm -E %{rhel})-x86_64/pgdg-redhat-repo-latest.noarch.rpm# 安装之前先确认是否已经存在PostgreSQL rpm -qa | grep postgres# 如果存在&#xff0…...

编程新知 2025/11/26 20:46:42

WPF八大法则：告别模态窗口卡顿

⚙️ 核心问题：阻塞式模态窗口的缺陷原始代码中ShowDialog()会阻塞UI线程，导致后续逻辑无法执行： var result modalWindow.ShowDialog(); // 线程阻塞 ProcessResult(result); // 必须等待窗口关闭根本问题&#xff1a…...

编程新知 2026/1/26 17:26:03