Pengelolaan sandi adalah sesuatu yang harus secara umum tidak dibuat kembali tida perlu, dan Django berusaha menyediakan kumpulan aman dan fleksibel dari alat-alat untuk mengelola sandi pengguna. Dokumen ini menggambarkan bagaimana Django menyimpan sandi, bagaimana campuran penyimpanan dapat dikonfigurasikan, dan beberapa peralatan untuk bekerja dengan sandi dicampur.
\n\nDjango menyediakan sistem penyimpanan sandi fleksibel dan menggunakan PBKDF2 secara awalan.
\nAtribut password dari sebuah obyek User adalah sebuah string di bentuk ini:
<algorithm>$<iterations>$<salt>$<hash>\nMereka adalah komponen digunakan untuk menyimpan sandi User, dipisahkan oleh karakter dolar dan terdiri dari campuran algoritma, sejumlah perulangan algoritma (faktor kerja), garam acak, dan menghasilkan campuran sandi. Algoritma adalah satu dari sejumlah dari campuran satu-cara atau algoritma penyimpanan sandi Django dapat digunakan, lihat dibawah. Perulangan menggambarkan sejumlah kali algoritma berjalan terhadap campuran. Garam adalah benih acak digunakan dan campuran adalah hasil dari fungsi satu-cara.
\nSecara awalan, Django menggunakan algoritma PBKDF2 dengan campuran SHA256, sebuah mekanisme perentangan sandi dianjurkan oleh NIST. Ini harus cukup untuk kebanyakan pengguna: itu sangat aman, membutuhkan jumlah besar waktu untuk merusak.
\nBagaimapun, tergantung pada persyaratan anda, anda mungkin memilih algoritma berbeda, atau bahkan menggunakan penyesuaian algoritma untuk mencocokkan keadaan keamanan khusus. Kembali, kebanyakan pengguna tidak butuh melakukan ini -- jika anda tidak yakin, anda mungkin tidak. Jika anda melakukan, harap membaca:
\nDjango memilih algoritma untuk digunakan dengan berkonsultasi pengaturan PASSWORD_HASHERS. Ini adalah daftar dari campuran kelas-kelas algoritma yang mendukung pemasangan Django ini. Masukan pertama di daftar (yaitu, settings.PASSWORD_HASHERS[0]) akan digunakan menyimpan sandi, dan semua masukan lain adalah pencampur sah yang dapat digunakan memeriksa sandi yang ada. Ini berarti bahwa anda ingin menggunakan algoritma berbeda, anda akan butuh merubah PASSWORD_HASHERS ke daftar anda pertama algoritma dipilih di daftar.
Nilai awal untuk PASSWORD_HASHERS adalah:
PASSWORD_HASHERS = [\n 'django.contrib.auth.hashers.PBKDF2PasswordHasher',\n 'django.contrib.auth.hashers.PBKDF2SHA1PasswordHasher',\n 'django.contrib.auth.hashers.Argon2PasswordHasher',\n 'django.contrib.auth.hashers.BCryptSHA256PasswordHasher',\n]\nIni berarti bahwa Django akan menggunakan PBKDF2 menyimpan semua sandi tetapi akan mendukung pemeriksaan sandi disimpan dengan PBKDF2SHA1, argon2, dan bcrypt.
\nSedikit bagian selanjutnya menggambarkan sepasang cara umum pengguna tingkat lanjut mungkin ingin merubah pengaturan ini.
\nArgon2 adalah pemenang dari Password Hashing Competition 2015, sebuah komunitas mengorganisasikan pertandingan terbuka untuk memilih algoritma campuran generasi selanjutnya. Itu dirancang tidak mudah dihitung pada perangkat keras penyesuaian daripada itu dihitung pada CPU biasa.
\nArgon2 bukan awalan untuk Django karena itu membutuhkan pustaka pihak-ketiga. Juri Password Hashing Competition, bagaimanapun, menganjurkan penggunaan segera dari Argon2 daripada algoritma lain didukung oleh Django.
\nUntuk menggunakan Argon2 sebagai algoritma penyimpanan awalan anda, lakukan berikut:
\nPasang argon2-cffi library. Ini dapat diselesaikan dengan menjalankan pip install django[argon2], yang setara pada pip install argon2-cffi (bersama dengan persyaratan versi apapun dari setup.py Django).
Rubah PASSWORD_HASHERS pada daftar Argon2PasswordHasher pertama. Yaitu, di berkas pengaturan anda, anda telah taruh:
PASSWORD_HASHERS = [\n 'django.contrib.auth.hashers.Argon2PasswordHasher',\n 'django.contrib.auth.hashers.PBKDF2PasswordHasher',\n 'django.contrib.auth.hashers.PBKDF2SHA1PasswordHasher',\n 'django.contrib.auth.hashers.BCryptSHA256PasswordHasher',\n]\nJaga dan/atau tambah masukan apapun di daftar ini jika anda butuh Django untuk upgrade passwords.
\nbcrypt dengan DjangoLink to this heading#Bcrypt adalah algoritma penyimpanan sandi terkenal yang khususnya dirancang untuk penyimpanan sandi jangka-panjang. Itu bukan awalan digunakan oleh Django sejak itu membutuhkan menggunakan pustaka pihak-ketiga, tetapi sejak banyak orang mungkin ingin menggunakan itu Django mendukung bcrypt dengan usaha minimal.
\nUntuk menggunakan Bcrypt sebagai algoritma penyimpanan awalan anda, lakukan berikut:
\nPasang bcrypt library. Ini dapat diselesaikan dengan menjalankan pip install django[bcrypt], yang setara pada pip install bcrypt (bersama dengan persyaratan versi apapun dari setup.py Django).
Rubah PASSWORD_HASHERS pada daftar BCryptSHA256PasswordHasher pertama. Yaitu, di berkas pengaturan anda, anda telah taruh:
PASSWORD_HASHERS = [\n 'django.contrib.auth.hashers.BCryptSHA256PasswordHasher',\n 'django.contrib.auth.hashers.PBKDF2PasswordHasher',\n 'django.contrib.auth.hashers.PBKDF2SHA1PasswordHasher',\n 'django.contrib.auth.hashers.Argon2PasswordHasher',\n]\nJaga dan/atau tambah masukan apapun di daftar ini jika anda butuh Django untuk upgrade passwords.
\nYaitu -- sekarang Django memasang dengan menggunakan Bcrypt sebagai algoritma penyimpanan awalan.
\nAlgoritma PBKDF2 dan bcrypt menggunakan sejumlah perulangan atau pemutaran dari campuran. Ini sengaja memperlambat penyerang, membuat serangan terhadap sandi campuran lebih keras. Bagaimanapun, seiring kekuatan komputer meningkat, sejumlah perulangan butuh ditingkatkan. Kami telah memilih awalan yang masuk akal (dan akan meningkatkannya dengan setiap terbitan dari Django), tetapi anda mungkin berharap untuk menyetem keatas dan kebawah, tergantung pada kebutuhan keamanan anda dan kekuatan pengolahan yang tersedia. Untuk melakukannya, anda akan mensubkelaskan algoritma yang sesuai dan menimpa parameter iterations. Sebagai contoh, untuk meningkatkan sejumlah perulangan digunakan oleh awalan algoritma PBKDF2:
Membuat sebuah subkelas dari django.contrib.auth.hashers.PBKDF2PasswordHasher:
from django.contrib.auth.hashers import PBKDF2PasswordHasher\n\nclass MyPBKDF2PasswordHasher(PBKDF2PasswordHasher):\n """\n A subclass of PBKDF2PasswordHasher that uses 100 times more iterations.\n """\n iterations = PBKDF2PasswordHasher.iterations * 100\nSimpan ini disuatu tempat di proyek anda. Sebagai contoh, anda mungkin menaruh ini di sebuah berkas seperti myproject/hashers.py.
Tambah pencampur baru anda sebagai masukan pertama di PASSWORD_HASHERS:
PASSWORD_HASHERS = [\n 'myproject.hashers.MyPBKDF2PasswordHasher',\n 'django.contrib.auth.hashers.PBKDF2PasswordHasher',\n 'django.contrib.auth.hashers.PBKDF2SHA1PasswordHasher',\n 'django.contrib.auth.hashers.Argon2PasswordHasher',\n 'django.contrib.auth.hashers.BCryptSHA256PasswordHasher',\n]\nItu dia -- sekarang pemasangan Django anda akan menggunakan perulangan lebih ketika itu menyimpan sandi menggunakan PBKDF2.
\nArgon2 mempunyai tiga atribut yang dapat disesuaikan:
\ntime_cost mengendalikan sejumlah perulangan dalam campuran.
memory_cost mengendalikan ukuran memori yang harus digunakan selama perhitungan dari campuran.
parallelism mengendalikan berapa banyak CPU perhitungan dari campuran dapat diparalelkan.
Nilai-nilai awalan dari atribut ini mungkin baik untuk anda. Jika anda menentukan bahwa campuran sandi terlalu cepat atau terlalu lambat, anda dapat mengutik itu sebagai berikut:
\nPilih parallelism untuk menjadi angka dari thread anda dapat hemat menghitung campuran.
Pilih memory_cost menjadi KiB dari memori anda dapat hemat.
Menyesuaikan time_cost dan ukuran waktu mencampur sebuah sandi yang diambil. Ambil sebuah time_cost yang mengambil sebuah waktu yang dapat diterima untuk anda. Jika time_cost disetel menjadi ` adalah tidak dapat diterima lambat, memory_cost lebih rendah.
Ketika pengguna masuk, jika sandi mereka disimpan dengan apapun lain dari algoritma yang dipilih, Django akan secara otomatis meningkatkan algoritma ke satu yang dipilih. Ini berarti bahwa pemasangan lama dari Django akan mendapatkan otomatis lebih aman ketika pengguna masuk, dan itu juga berarti bahwa anda dapat berganti ke algoritma pentimpanan (dan lebih baik) baru ketika mereka dibuat.
\nBagaimanapun, Django hanya dapat meningkatkan sandi yang menggunakan algoritma disebutkan di PASSWORD_HASHERS, jadi ketika anda meningkatkan ke sistem baru anda harus memastikan tidak pernah memindahkan masukan dari daftar ini. Jika anda melakukan, pengguna menggunakan algoritma tidak disebutkan tidak dapat ditingkatkan. Sandi dicampur akan diperbaharui ketika meningkatkan (atau menurunkan) sejumlah perulangan PBKDF2 atau lingkaran bcrypt.
Waspada bahwa jika semua sandi di basisdata anda tidak dikodekan di algoritma pencampur awalan, anda mungkin rentan pada serangan pewaktu pencacahan pengguna karena perbedaan diantara lamanya dari permintaan masuk untuk pengguna dengan sandi terkodekan di algoritma bukan-awalan dan lamanya dari permintaan masuk untuk pengguna tidak ada (yang menjalankan pencampur awalan). Anda mungkin dapat memperbaiki ini dengan upgrading older password hashes.
\nJika anda mempunyai basisdata yang ada dengan yang terlama, campuran lemah seperti MD5 atau SHA1, anda mungkin ingin meningkatkan campuran tersebut anda sendiri daripada menunggu peninggkatan terjadi ketika pengguna masuk (yang mungkin tidak pernah terjadi jika pengguna tidak kembali ke situs anda). Di kasus ini, anda dapat menggunakan pencampur sandi "wrapped".
\nUntuk contoh ini, kami akan memindahkan kumpulan dari campuran SHA1 untuk menggunakan PBKDF2(SHA1(password)) dan menambah pencampur sandi sesuai untuk memeriksa jika pengguna memasukkan sandi benar pada masuk. Kami menganggap kami sedang menggunakan model User siap-pakai dan bahwa proyek kami mempunyai sebuah aplikasi accounts. Anda dapat merubah pola untuk bekerja dengan algoritma apapun atau dengan penyesuaian model user.
Pertama, kami akan menambah penyesuaian pencampur:
\nfrom django.contrib.auth.hashers import (\n PBKDF2PasswordHasher, SHA1PasswordHasher,\n)\n\n\nclass PBKDF2WrappedSHA1PasswordHasher(PBKDF2PasswordHasher):\n algorithm = 'pbkdf2_wrapped_sha1'\n\n def encode_sha1_hash(self, sha1_hash, salt, iterations=None):\n return super().encode(sha1_hash, salt, iterations)\n\n def encode(self, password, salt, iterations=None):\n _, _, sha1_hash = SHA1PasswordHasher().encode(password, salt).split('$', 2)\n return self.encode_sha1_hash(sha1_hash, salt, iterations)\nPerpindahan data mungkin terlihat seperti:
\nfrom django.db import migrations\n\nfrom ..hashers import PBKDF2WrappedSHA1PasswordHasher\n\n\ndef forwards_func(apps, schema_editor):\n User = apps.get_model('auth', 'User')\n users = User.objects.filter(password__startswith='sha1$')\n hasher = PBKDF2WrappedSHA1PasswordHasher()\n for user in users:\n algorithm, salt, sha1_hash = user.password.split('$', 2)\n user.password = hasher.encode_sha1_hash(sha1_hash, salt)\n user.save(update_fields=['password'])\n\n\nclass Migration(migrations.Migration):\n\n dependencies = [\n ('accounts', '0001_initial'),\n # replace this with the latest migration in contrib.auth\n ('auth', '####_migration_name'),\n ]\n\n operations = [\n migrations.RunPython(forwards_func),\n ]\nWaspada bahwa perpindahan ini akan mengambil urutan dari beberapa menit untuk beberapa ribuan pengguna, tergantung pada kecepatan perangkat keras anda.
\nAkhirya, kami akan menambah sebuah pengaturan PASSWORD_HASHERS:
PASSWORD_HASHERS = [\n 'django.contrib.auth.hashers.PBKDF2PasswordHasher',\n 'accounts.hashers.PBKDF2WrappedSHA1PasswordHasher',\n]\nSertakan pencampur lain apapun yang situs anda gunakan di daftar ini.
\nDaftar penuh dari pencampur disertakan di Django adalah:
\n[\n 'django.contrib.auth.hashers.PBKDF2PasswordHasher',\n 'django.contrib.auth.hashers.PBKDF2SHA1PasswordHasher',\n 'django.contrib.auth.hashers.Argon2PasswordHasher',\n 'django.contrib.auth.hashers.BCryptSHA256PasswordHasher',\n 'django.contrib.auth.hashers.BCryptPasswordHasher',\n 'django.contrib.auth.hashers.SHA1PasswordHasher',\n 'django.contrib.auth.hashers.MD5PasswordHasher',\n 'django.contrib.auth.hashers.UnsaltedSHA1PasswordHasher',\n 'django.contrib.auth.hashers.UnsaltedMD5PasswordHasher',\n 'django.contrib.auth.hashers.CryptPasswordHasher',\n]\nNama-nama algoritma sesuai adalah:
\npbkdf2_sha256
pbkdf2_sha1
argon2
bcrypt_sha256
bcrypt
sha1
md5
unsalted_sha1
unsalted_md5
crypt
Jika anda menulis pencampur sandi anda sendiri yang mengandung faktor kerja seperti sejumlah perulangan, anda harus menerapkan sebuah metode harden_runtime(self, password, encoded) untuk menjembatani celah waktu jalan diantara faktor kerja disokong di sandi encoded dan faktor kerja awalan dari pencampur. Ini mencegah serangan pewaktu pencacahan pengguna pada perbedaan diantara permintaan masuk untuk pengguna baru dengan sandi dikodekan di nomor terlama dari perulangan dan pengguna tidak ada (yang menjalankan nomor awalan pencampur bawaan dari perulangan).
Mengambil PBKDF2 sebagai contoh, jika encoded mengandung 20,000 perputaran dan iterations awalan pencampur adalah 30,000, metode harus menjalankan password melalui perputaran 10,000 lain dari PBKDF2.
Jika pencampur anda tidak mempunyai faktor kerja, terapkan metode sebagai no-op (pass).
The django.contrib.auth.hashers module provides a set of functions\nto create and validate hashed passwords. You can use them independently\nfrom the User model.
Jika anda suka secara manual autentifikasi pengguna dengan membandingkan sandi teks-polos pada sandi dicampur di basisdata, gunakan fungsi nyaman check_password(). Itu mengambil dua argumen: sandi teks-polos untuk memeriksa, dan nilai penuh dari bidang password pengguna di basisdata untuk memeriksa terhadap, dan mengembalikan True jika mereka cocok, False sebaliknya.
Creates a hashed password in the format used by this application. It takes\none mandatory argument: the password in plain-text. Optionally, you can\nprovide a salt and a hashing algorithm to use, if you don't want to use the\ndefaults (first entry of PASSWORD_HASHERS setting). See\nDisertakan pencampur for the algorithm name of each hasher. If the\npassword argument is None, an unusable password is returned (one that\nwill never be accepted by check_password()).
Mengembalikan False jika sandi adalah hasil dari User.set_unusable_password().
Pengguna sering memilih sandi miskin. Untuk membantu memperbaiki masalah ini, Django menawarkan pengesahan sandi tertanam. Anda dapat mengkonfigurasi banyak pengesah sandi pada waktu bersamaan. Sedikit pengesah disertakan di Django, tetapi itu cukup menulis anda sendiri juga.
\nSetiap pengesah sandi harus menyediakan teks bantuan untuk menjelaskan persyaratan ke pengguna, mensahkan sandi diberikan dan mengembalikan sebuah pesan kesalahan jika itu tidak memenuhi persyaratan, dan pilihannya menerima sandi yang telah disetel. Pengesah dapat juga mempunyai pengaturan pilihan untuk mendenda menyesuaikan perilaku mereka.
\nPengesahan dikendalikan dengan pengaturan AUTH_PASSWORD_VALIDATORS. Awalan untuk pengaturan adalah sebuah daftar kosong, yang berarti tidak ada pengesah diberlakukan. Dalam proyek baru dibuat dengan cetakan startproject awalan, sekumpulan sederhana dari pengesah diadakan.
Secara awalan, pengesah digunakan dalam formulir untuk menyetel kembali atau merubah sandi dan di perintah pengelolaan createsuperuser dan changepassword. Pengesah tidak diberlakukan pada tingkat model, sebagai contoh di User.objects.create_user()` dan create_superuser(), karena kami mengaggap bahwa pengembang, bukan pengguna, interaksi dengan Django pada tingkat itu dan juga karena pengesahan model tidak secara otomatis berjalan sebagai bagian dari membuat model.
Pengesahan sandi dikonfigurasikan di pengaturan AUTH_PASSWORD_VALIDATORS:
AUTH_PASSWORD_VALIDATORS = [\n {\n 'NAME': 'django.contrib.auth.password_validation.UserAttributeSimilarityValidator',\n },\n {\n 'NAME': 'django.contrib.auth.password_validation.MinimumLengthValidator',\n 'OPTIONS': {\n 'min_length': 9,\n }\n },\n {\n 'NAME': 'django.contrib.auth.password_validation.CommonPasswordValidator',\n },\n {\n 'NAME': 'django.contrib.auth.password_validation.NumericPasswordValidator',\n },\n]\nContoh ini mengadakan semua empat pengesah disertakan:
\nUserAttributeSimilarityValidator, yang memeriksa kemiripan diantara sandi dan sekumpulan dari atribut dari pengguna.
MinimumLengthValidator, yang cukup memeriksa apakah sandi memenuhi panjang minimal. Pengesah ini dikonfigurasikan dengan penyesuaian pilihan: itu sekarang membutuhkan panjang minimal untuk menjadi 9 karakter, daripada awalan delapan.
CommonPasswordValidator, which checks whether the password occurs in a\nlist of common passwords. By default, it compares to an included list of\n20,000 common passwords.
NumericPasswordValidator, yang memeriksa apakah sandi tidak sepenuhnya numerik.
Untuk UserAttributeSimilarityValidator dan CommonPasswordValidator, kami cukup menggunakan pengaturan awalan di contoh ini. NumericPasswordValidator tidak mempunyai pengaturan.
Teks bantuan dan kesalahan apapun dari pengesah sandi selalu dikembalikan agar mereka didaftarkan di AUTH_PASSWORD_VALIDATORS.
Django menyertakan empat pengesah:
\nMengesahkan apakah sandi memenuhi panjang minimal. Panjang minimal dapat disesuaikan dengan parameter min_length.
Mengesahkan apakah sandi cukup berbeda dari atribut tertentu dari pengguna.
\nParameter user_attributes harus berupa sebuah perulangan dari nama-namad dari atribut pengguna untuk dibandingkan. Jika argumen ini tidak disediakan, awalan adalah digunakan: 'username', 'first_name', 'last_name', 'email'. Atribut-atribut yang tidak ada adalah diabaikan.
The maximum allowed similarity of passwords can be set on a scale of 0.1\nto 1.0 with the max_similarity parameter. This is compared to the\nresult of difflib.SequenceMatcher.quick_ratio(). A value of 0.1\nrejects passwords unless they are substantially different from the\nuser_attributes, whereas a value of 1.0 rejects only passwords that are\nidentical to an attribute's value.
Validates whether the password is not a common password. This converts the\npassword to lowercase (to do a case-insensitive comparison) and checks it\nagainst a list of 20,000 common password created by Royce Williams.
\npassword_list_path dapat disetel ke jalur dari berkas penyesuaian dari sandi umum. Berkas ini harus mengandung sandi satu huruf kecil per baris dan mungkin berupa teks polos atau gzipped.
Mengesahkan apakah sandi tidak sepenuhnya numerik.
\nAda sedikit fungsi di django.contrib.auth.password_validation yang anda dapat memanggil dari formulir anda sendiri atau kode lain untuk memadukan pengesahan sandi. Ini dapat berguna jika anda menggunakan penyesuaian formulir untuk pengaturan sandi, atau jika anda mempunyai panggilan API yang mengizinkan sandi disetel, sebagai contoh.
Mengesahkan sebuah sandi. Jika semua pengesah menemukan sandi sah, mengembalikan None. Jika satu atau lebih pengesah menolak sandi, memunculkan sebuah ValidationError dengan semua pesan-pesan kesalahan dari pengesah.
Obyek user adalah pilihan: jika itu tidak disediakan, beberapa pengesah mungkin tidak dapat melakukan pengesahan apapun dan akan menerima sandi apapun.
Menginformasikan semua pengesah yang sandi telah berubah. Ini dapat digunakan oleh pengesah seperti satu yang mencegah penggunaan kembali sandi. Ini harus dipanggil sekali sandi telah berhasil dirubah.
\nUntuk subkelas-subkelas dari AbstractBaseUser, bidang sandi akan ditandai sebagai "dirty" ketika memanggil set_password() yang memicu semua pada password_changed() setelah pengguna disimpan.
Mengembalikan daftar dari teks bantuan dari semua pengesah. Ini menjelaskan persyaratan sandi ke pengguna.
\nMengembalikan sebuah string HTML dengan semua bantuan teks di sebuah <ul>. Ini sangat membantu ketika menambahkan pengesahan pada formulir, ketika anda dapat melewatkan keluaran secara langsung ke parameter help_text dari bidang formulir.
Mengembalikan sekelompok obyek pengesah berdasarkan pada parameter validator_config. Secara awalan, semua fungsi menggunakan pengesah ditentukan di AUTH_PASSWORD_VALIDATORS, tetapi dengan memanggil fungsi ini dengan alternatif kumpulan dari pengesah dan kemudian melewatkan hasil kedalam parameter password_validators dari fungsi lain, kumpulan penyesuaian anda dari pengesah akan digunakan sebagai gantinya. Ini sangat berguna ketika anda mempunyai kumpulan khusus dari pengesah untuk menggunakan kebanyakan skenario, tetapi juga mempunyai keadaan khusus yang membutuhkan penyesuaian kumpulan. Jika anda selalu menggunakan kumpulan sama dari pengesah, tidak perlu menggunakan fungsi ini, ketika konfigurasi dari AUTH_PASSWORD_VALIDATORS digunakan secara awalan.
Struktur dari validator_config``mirip pada struktur dari :setting:`AUTH_PASSWORD_VALIDATORS`. Nilai kembalian dari fungsi ini dapat dilewatkan kedalam parameter ``password_validators dari fungsi-fungsi terdaftar diatas.
Catat bahwa dimana sandi dilewatkan ke satu dari fungsi-fungsi ini, ini harus selalu sandi teks jelas - bukan sebuah sandi dicampur.
\nJika pengesah siap-pakai Django tidak cukup, anda dapat menulis pengesah sandi anda sendiri. Pengesah adalah kelas-kelas cukup sederhana. Mereka harus menerapkan dua metode:
\nvalidate(self, password, user=None): sahkan sebuah sandi. Kembalikan None jika sandi adalah sah, atau munculkan sebuah ValidationError dengan pesan kesalahan jika sandi tidak sah. Anda harus dapat berhubungan dengan user menjadi None - jika itu berarti pengesah anda tidak dapat berjalan, cukup kembalikan None untuk tidak ada kesalahan.
get_help_text(): menyediakan teks bantuan untuk menjelaskan persyaratan ke pengguna.
Barang apapun di OPTIONS di AUTH_PASSWORD_VALIDATORS untuk pengesah anda akan dilewatkan ke pembangun. Semua argumen pembangun harus memiliki nilai awalan.
Ini adalah contoh dasar dari pengecekan, dengan satu pilihan pengaturan:
\nfrom django.core.exceptions import ValidationError\nfrom django.utils.translation import gettext as _\n\nclass MinimumLengthValidator:\n def __init__(self, min_length=8):\n self.min_length = min_length\n\n def validate(self, password, user=None):\n if len(password) < self.min_length:\n raise ValidationError(\n _("This password must contain at least %(min_length)d characters."),\n code='password_too_short',\n params={'min_length': self.min_length},\n )\n\n def get_help_text(self):\n return _(\n "Your password must contain at least %(min_length)d characters."\n % {'min_length': self.min_length}\n )\nAnda dapat juga menerapkan password_changed(password, user=None), yang akan dipanggil setelah perubahan sandi berhasil. Itu dapat digunakan untuk mencegah penggunaan kembali sandi, sebagai contoh. Bagaimanapun, jika anda memutuskan menyimpan sandi pengguna sebelumnya, anda harus tidak pernah melakukannya di pembersihan teks.