Djangoの認証システムを使用するLink to this heading

このドキュメントでは、デフォルト設定でのDjangoの認証システムの使用方法を説明します。この設定は、タスクの適切な範囲を管理することで、最も一般的なプロジェクトのニーズにかなうよう徐々に発展してきました。そして、パスワードや権限の入念な実装を持っています。デフォルトの認証システムからの変更が必要なプロジェクトのために、Djangoは認証システムの広範囲の拡張とカスタマイズをサポートします。

Djangoの認証は、認証 (authentication) 機能と認可 (authorization) 機能の両方を提供しています。そして、一般的に、これらの機能を合わせて認証システムと呼びます。

`User` オブジェクトLink to this heading

User オブジェクトは、認証システムの中核です。一般的に、このオブジェクトはあなたのサイトに関係する人々を表し、アクセスを制限すること、ユーザ情報を登録すること、コンテンツを作成者と関連付けることを可能にする際などに利用されます。 Djangoの認証フレームワークにはUserクラスという、ただひとつのクラスのみが存在します。すなわち、 'superusers' または admin 'staff' ユーザは、Userオブジェクトと異なるクラスではなく、特別な属性セットを持ったUserオブジェクトなのです。

デフォルトのユーザの主要な属性は次のとおりです。

仕様については 完全な API ドキュメント を参照してください。以下のドキュメントは、よりタスク指向の形式となっています。

ユーザを作成するLink to this heading

ユーザを作成する最も直接的な方法は、付属の create_user() ヘルパー関数を使うことです:

Python console

>>> from django.contrib.auth.models import User
>>> user = User.objects.create_user("john", "lennon@thebeatles.com", "johnpassword")

# At this point, user is a User object that has already been saved
# to the database. You can continue to change its attributes
# if you want to change other fields.
>>> user.last_name = "Lennon"
>>> user.save()

すでにDjango adminをインストールしている場合は、インタラクティブにユーザを作成することもできます。

スーパーユーザを作成するLink to this heading

createsuperuser コマンドを使ってスーパーユーザーを作成します:

Linux / macOS

Shell

$ python manage.py createsuperuser --username=joe --email=joe@example.com

Windows

...\> py manage.py createsuperuser --username=joe --email=joe@example.com

パスワードを入力するように促されます。入力後、ただちにユーザが作成されます。 --username または --email オプションを使用しなければ、これらの値を入力するように促されます。

パスワードを変更するLink to this heading

Djangoはユーザモデルに未加工の (単なるテキストの) パスワードは保存せず、ハッシュ値でのみ保存します (詳細は、パスワードは管理方法に関するドキュメントを参照してください)。したがって、ユーザのパスワード属性を直接操作しないでください。これが、ユーザを作成する際にヘルパー関数を使用する理由です。

ユーザのパスワードを変更するには、いくつかのオプションがあります。

manage.py changepassword *username* は、コマンドラインからユーザのパスワードを変更する方法を提供します。ユーザのパスワードを変更するよう促されたら、パスワードを 2 回入力してください。2 つのパスワードが一致した場合、新しいパスワードが直ちに有効になります。ユーザを指定しない場合、コマンドは、現在のシステムユーザとユーザ名が一致するユーザのパスワードを変更するよう試みます。

set_password() を使用することで、プログラムでパスワードを変更することもできます:

Python console

>>> from django.contrib.auth.models import User
>>> u = User.objects.get(username="john")
>>> u.set_password("new password")
>>> u.save()

Django admin がインストールされていれば、認証システムのadminページにて、ユーザのパスワードを変更することも可能です。

また、Djangoはユーザ自身のパスワードを変更するためのビューとフォームを提供します。

ユーザーのパスワード変更を行う事とそのユーザーのセッションは全てログアウトされます。詳細はパスワード変更時にセッションを無効化するを参照してください。

ユーザを認証するLink to this heading

authenticate(request=None, **credentials)Link to this definition

aauthenticate(request=None, **credentials)Link to this definition

非同期バージョン: aauthenticate()

認証情報のセットを検証するには authenticate() を利用してください。このメソッドは認証情報をキーワード引数として受け取ります。検証する対象はデフォルトでは username と password であり、その組み合わせを個々の認証バックエンドに対して問い合わせ、認証バックエンドで認証情報が有効とされれば User オブジェクトを返します。もしいずれの認証バックエンドでも認証情報が有効と判定されなければ PermissionDenied が送出され、None が返されます。以下は実装例です:

Code

from django.contrib.auth import authenticate

user = authenticate(username="john", password="secret")
if user is not None:
    # A backend authenticated the credentials
    ...
else:
    # No backend authenticated the credentials
    ...

request はオプションで、HttpRequest のインスタンスを取ります。このインスタンスは認証バックエンドの authenticate() メソッドに渡されます。

権限と認可Link to this heading

Django には組み込みのパーミッションシステムがあります。特定のユーザやユーザグループにパーミッションを割り当てる方法を提供します。

これは、Django の admin サイトでも使われていますが、独自のコード内でも自由に使えます。

Django の admin サイトは、次のように権限を使用します。

ビューオブジェクトへのアクセスは、そのオブジェクトタイプの "view "または "change" 権限を持つユーザーに限定されます。
"add" フォームのビューを表示してオブジェクトを追加するためのアクセスは、その種類のオブジェクトに "add" 権限を持つユーザに限定されます。
変更リストの表示、"change" フォームの表示、オブジェクトの変更へのアクセスは、その種類のオブジェクトに "change" 権限を持つユーザーに限定されます。
オブジェクトの削除へのアクセスは、その種類のオブジェクトに "delete"権限を持つユーザに限定されます。

権限はオブジェクトの種類ごとだけでなく、特定のオブジェクトインスタンスごとに設定することもできます。ModelAdmin クラスによって提供される has_view_permission()、has_add_permission()、has_change_permission()、および has_delete_permission() メソッドを使用することで、同じ種類の異なるオブジェクトインスタンスに対する権限をカスタマイズすることが可能です。

User オブジェクトは 2 つの多対多のフィールド、groups および user_permissions を持っています。User オブジェクトは、他の Django モデルと同様の方法で、関連を持っているオブジェクトにアクセスできます。

Code

myuser.groups.set([group_list])
myuser.groups.add(group, group, ...)
myuser.groups.remove(group, group, ...)
myuser.groups.clear()
myuser.user_permissions.set([permission_list])
myuser.user_permissions.add(permission, permission, ...)
myuser.user_permissions.remove(permission, permission, ...)
myuser.user_permissions.clear()

デフォルトの権限Link to this heading

INSTALLED_APPS 設定に django.contrib.auth がリストされていると、インストールしたアプリケーションで定義された Django モデルごとに、追加、変更、削除、表示の 4 つのデフォルトパーミッションが作成されます。

これらの権限は manage.py migrate 実行時に作成されます。INSTALLED_APPS に django.contrib.auth を追加後初めての migrate を実行した場合は、新たにインストールされるモデルに対してと同様、それまでに作成されたモデルに対してもデフォルトの権限が作成されます。以後 manage.py migrate (この権限を作成する関数は post_migrate シグナルに接続されています)を実行する度作成されるモデルに対してデフォルトの権限が作成されます。

app_label が foo のアプリケーションと、Bar という名前のモデルがあると想定すると、基本的な権限をテストするには、以下のように使用する必要があります。

追加: user.has_perm('foo.add_bar')
変更: user.has_perm('foo.change_bar')
削除: user.has_perm('foo.delete_bar')
表示: user.has_perm('foo.view_bar')

Permission モデルが直接アクセスされることはほとんどありません。

グループLink to this heading

django.contrib.auth.models.Group モデルはユーザーを分類する汎用的な方法であるため、対象となるユーザーに権限や、何らかのラベルを適用できます。1つのユーザーは複数のグループに属することが可能です。

グループに属するユーザーは、そのグループに付与された権限を自動的に持ちます。たとえば、Site editors グループが can_edit_home_page 権限を持っていた場合、そのグループ内のすべてのユーザーは、その権限を持つことになります。

権限に限らず、グループはユーザーを分類して、ラベルや拡張された機能を与えるために便利な手段です。たとえば、Special users というグループを作成して、そのグループのメンバーに対してサイトのメンバー限定の領域にアクセスする権限を付与したり、メンバー限定のメールを送るコードを書いたりすることも可能です。

プログラムによる権限の作成Link to this heading

カスタム権限は、モデルの Meta クラス内に定義でき、権限を直接作成することも可能です。たとえば、myapp 内の BlogPost モデルに対する権限 can_publish は、以下のように作成できます。

Code

from myapp.models import BlogPost
from django.contrib.auth.models import Permission
from django.contrib.contenttypes.models import ContentType

content_type = ContentType.objects.get_for_model(BlogPost)
permission = Permission.objects.create(
    codename="can_publish",
    name="Can Publish Posts",
    content_type=content_type,
)

権限はその後、user_permissions 属性を介して User に割り当てるか、あるいは、permissions 属性を介して Group に割り当てることができます。

プロキシモデルには独自のコンテンツタイプが必要です

プロキシモデルのパーミッションを作成したい場合は、次のように ContentTypeManager.get_for_model() に for_concrete_model=False を渡して、適切な ContentType を取得してください。

Code

content_type = ContentType.objects.get_for_model(
    BlogPostProxy, for_concrete_model=False
)

権限のキャッシュLink to this heading

ModelBackend は、権限チェックのために最初に取得する必要があるユーザーオブジェクト上の権限をキャッシュします。権限は (たとえば admin 内で) 付与された直後に権限をチェックすることはないため、これは、通常のリクエスト-レスポンスのサイクルでは問題ありません。たとえばテストやビューなどで、権限を付与した直後に権限の確認を行う場合は、最も簡単な解決手段はデータベースからユーザーをm再取得することです。実装例を以下に示します。

Code

from django.contrib.auth.models import Permission, User
from django.contrib.contenttypes.models import ContentType
from django.shortcuts import get_object_or_404

from myapp.models import BlogPost


def user_gains_perms(request, user_id):
    user = get_object_or_404(User, pk=user_id)
    # any permission check will cache the current set of permissions
    user.has_perm("myapp.change_blogpost")

    content_type = ContentType.objects.get_for_model(BlogPost)
    permission = Permission.objects.get(
        codename="change_blogpost",
        content_type=content_type,
    )
    user.user_permissions.add(permission)

    # Checking the cached permission set
    user.has_perm("myapp.change_blogpost")  # False

    # Request new instance of User
    # Be aware that user.refresh_from_db() won't clear the cache.
    user = get_object_or_404(User, pk=user_id)

    # Permission cache is repopulated from the database
    user.has_perm("myapp.change_blogpost")  # True

    ...

プロキシモデルLink to this heading

プロキシモデルは具象モデルと全く同じように動作します。権限は、プロキシモデルの独自のコンテンツタイプを使って作成されます。プロキシモデルは、サブクラスである具象モデルのパーミッションを継承しません。

Code

class Person(models.Model):
    class Meta:
        permissions = [("can_eat_pizzas", "Can eat pizzas")]


class Student(Person):
    class Meta:
        proxy = True
        permissions = [("can_deliver_pizzas", "Can deliver pizzas")]

Python console

>>> # Fetch the content type for the proxy model.
>>> content_type = ContentType.objects.get_for_model(Student, for_concrete_model=False)
>>> student_permissions = Permission.objects.filter(content_type=content_type)
>>> [p.codename for p in student_permissions]
['add_student', 'change_student', 'delete_student', 'view_student',
'can_deliver_pizzas']
>>> for permission in student_permissions:
...     user.user_permissions.add(permission)
...
>>> user.has_perm("app.add_person")
False
>>> user.has_perm("app.can_eat_pizzas")
False
>>> user.has_perms(("app.add_student", "app.can_deliver_pizzas"))
True

Web リクエストにおける認証Link to this heading

Django は リクエストオブジェクト に対して認証システムを接続させるのにセッションとミドルウェアを利用します。

これらは、現在のユーザーを示すすべてのリクエストに request.user 属性と request.auser 非同期メソッドを提供します。もしユーザーが現在ログインしていない場合、この属性には AnonymousUser のインスタンスが、ログインしている場合は User のインスタンスがセットされます。

両者は、is_authenticated を用いて次のように識別できます。

Code

if request.user.is_authenticated:
    # Do something for authenticated users.
    ...
else:
    # Do something for anonymous users.
    ...

非同期ビューでは次のようになります。

Code

user = await request.auser()
if user.is_authenticated:
    # Do something for authenticated users.
    ...
else:
    # Do something for anonymous users.
    ...

ユーザーをログインさせる方法Link to this heading

現在のセッションに接続したい認証ユーザーがいる場合、login() 関数を使用できます。

login(request, user, backend=None)Link to this definition

alogin(request, user, backend=None)Link to this definition

非同期バージョン: alogin()

ビューからユーザーをログインさせるには、login() を利用します。この関数は HttpRequest オブジェクトと User オブジェクトを受け取ります。login() は、Django のセッションフレームワークを利用して、セッション中のユーザー ID を保存します。

匿名セッション中に設定されたデータは、ユーザーがログインした後もセッション内に保持されることに注意してください。

以下の例では、authenticate() と login() の2つの関数の使用方法の例です。

Code

from django.contrib.auth import authenticate, login


def my_view(request):
    username = request.POST["username"]
    password = request.POST["password"]
    user = authenticate(request, username=username, password=password)
    if user is not None:
        login(request, user)
        # Redirect to a success page.
        ...
    else:
        # Return an 'invalid login' error message.
        ...

認証バックエンドの選択Link to this heading

ユーザーがログインするとき、そのユーザーの ID と認証に使用したバックエンドは、ユーザーのセッション内に保存されます。これにより、同じ認証バックエンドが今後のリクエストでユーザーの詳細情報を取得できるようになります。セッション内に保存される認証バックエンドは、以下のように選択されます。

オプションの引数 backend が与えられている場合は、その値を利用する。
存在すれば属性 user.backend の値を利用する。authenticate() は返すユーザーオブジェクトに属性値 user.backend を設定するので、これにより、authenticate() と login() をペアリングできます。
AUTHENTICATION_BACKENDS に設定が1つだけあれば、その backend を利用する。
いずれにも該当しなかった場合、例外が送出される。

1 もしくは 2 においては、引数 backend あるいは属性値 user.backend は(AUTHENTICATION_BACKENDS で定義されているのと同様に)ドット付きのインポート先を示すパスの文字列でなければなりません。

ユーザーをログアウトさせる方法Link to this heading

logout(request)Link to this definition

alogout(request)Link to this definition

非同期バージョン: alogout()

django.contrib.auth.login() を利用してログインしたユーザーをログアウトさせるためには、django.contrib.auth.logout() をビューの中で利用してください。この関数は HttpRequest オブジェクトを受け取り、値を返しません。実装例は下記のようになります:

Code

from django.contrib.auth import logout


def logout_view(request):
    logout(request)
    # Redirect to a success page.

logout() は対象となるユーザーが最初からログインしていなかった場合でも例外を送出しない事に注意してください。

logout() を呼び出すと、現在処理しているリクエストに対応したセッション情報は完全に破棄されます。その時点までに存在している全てのデータが削除されます。これは、別の人物が同じウェブブラウザを利用してログインし、前のユーザーのセッションにアクセスして使用してしまう事態を防ぐためです。ログアウトした直後でも利用できる何らかの情報をセッションに保存したい場合は、django.contrib.auth.logout() を呼び出した後に行ってください。

ログインしているユーザーにアクセスを制限するLink to this heading

原理的な方法Link to this heading

ページに対するアクセスを制限する直接的な方法は request.user.is_authenticated の確認と共にログインページへのリダイレクトを利用する事です:

Code

from django.conf import settings
from django.shortcuts import redirect


def my_view(request):
    if not request.user.is_authenticated:
        return redirect(f"{settings.LOGIN_URL}?next={request.path}")
    # ...

もしくはエラーメッセージを出力します。

Code

from django.shortcuts import render


def my_view(request):
    if not request.user.is_authenticated:
        return render(request, "myapp/login_error.html")
    # ...

`login_required` デコレータLink to this heading

login_required(redirect_field_name='next', login_url=None)Link to this definition

ショートカットとして、便利な login_required() デコレータを利用できます:

Code

from django.contrib.auth.decorators import login_required


@login_required
def my_view(request): ...

login_required() は下記の処理を行います:

もしユーザがログインしていなければ、settings.LOGIN_URL にリダイレクトし、クエリ文字列に現在の絶対パスを渡します。リダイレクト先の例: /accounts/login/?next=/polls/3/
もしユーザがログインしていれば、通常通りビューを処理します。ビューのコードの中ではユーザがログインしているかを意識しなくて良いのです。

デフォルトでは、認証に成功したユーザがリダイレクトされる先のパスは "next" という名称のクエリパラメータに格納されています。もし異なるパラメータ名を利用したい場合、login_required() が redirect_field_name という省略可能な引数を受け取ります。

Code

from django.contrib.auth.decorators import login_required


@login_required(redirect_field_name="my_redirect_field")
def my_view(request): ...

redirect_field_name に値を持たせた場合、ログインテンプレートもカスタマイズする必要があるでしょう。これは、リダイレクト先のパスを格納しているテンプレートコンテキスト変数が、キーとして (デフォルトの) "next" でなく redirect_field_name の値を使用してしまうためです。

login_required() はまた省略可能な引数として login_url を受け取る事ができます。以下の例のように利用します:

Code

from django.contrib.auth.decorators import login_required


@login_required(login_url="/accounts/login/")
def my_view(request): ...

login_url 引数を指定しなかった場合、settings.LOGIN_URL を設定して、ログイン用ビューを適切に関連付ける必要があることに注意してください。たとえば、デフォルトの設定を利用する場合、下記の行を URLconf に追加します。

Code

from django.contrib.auth import views as auth_views

path("accounts/login/", auth_views.LoginView.as_view()),

settings.LOGIN_URL は、ビュー関数名と命名された URL パターンも受け付けます。これにより、設定を更新せずに URLconf 内でログイン用ビューを自由に再マッピングできます。

`LoginRequiredMixin` mixinLink to this heading

クラスベースのビューを使う際、 LoginRequiredMixin を使うことで login_required と同じ動作をさせることができます。この mixin は、継承リストの一番左に記述される必要があります。

class LoginRequiredMixinLink to this definition

ビューがこの mixin を使う場合、認証されていないユーザによるすべてのリクエストは、ログインページにリダイレクトされるか、HTTP 403 Forbidden エラー表示となります。これは、raise_exception パラメータにて設定します。

次のように AccessMixin のパラメータを設定することで、認可されていないユーザの処理をカスタマイズできます。

Code

from django.contrib.auth.mixins import LoginRequiredMixin


class MyView(LoginRequiredMixin, View):
    login_url = "/login/"
    redirect_field_name = "redirect_to"

テストをパスしたログイン済みユーザのアクセスを制限するLink to this heading

特定の権限やその他のテストに基づいてアクセスを制限するには、前のセクションで説明したのと基本的に同じことを行います。

直接ビューで request.user に対してテストを実行できます。たとえば、このビューは、ユーザが希望するドメインのメールを持っているかどうかをチェックし、持っていない場合はログインページにリダイレクトします:

Code

from django.shortcuts import redirect


def my_view(request):
    if not request.user.email.endswith("@example.com"):
        return redirect("/login/?next=%s" % request.path)
    # ...

user_passes_test(test_func, login_url=None, redirect_field_name='next')Link to this definition

便利なショートカットとして、 user_passes_test デコレータを使えば、呼び出し可能オブジェクトが False を返したときにリダイレクトできます:

Code

from django.contrib.auth.decorators import user_passes_test


def email_check(user):
    return user.email.endswith("@example.com")


@user_passes_test(email_check)
def my_view(request): ...

user_passes_test() は必須引数として User オブジェクトを受け取り、そのユーザがページの閲覧を許可されていれば True を返す呼び出し可能オブジェクトを受け取ります。この user_passes_test() は User が匿名でないことを自動的にはチェックしないことに注意してください。

user_passes_test() はオプションで2つの引数を取ります:

login_url: テストに合格しなかったユーザーがリダイレクトされるURLを指定します。これはログインページで、何も指定しなければデフォルトの settings.LOGIN_URL になります。
redirect_field_name: これは login_required() と同じです。これを None に設定すると、URL からこれを削除します。これは、テストに合格しないユーザーを「次のページ」がない非ログインページにリダイレクトする場合に有効かもしれません。

例:

Code

@user_passes_test(email_check, login_url="/login/")
def my_view(request): ...

class UserPassesTestMixinLink to this definition

クラスベースのビューを使用する場合、 UserPassesTestMixin が使えます。

test_func()Link to this definition

実行されるテストを提供するには、クラスの test_func() メソッドをオーバーライドする必要があります。さらに、 AccessMixin のパラメータを設定することで、未認証ユーザの処理をカスタマイズできます。

Code

from django.contrib.auth.mixins import UserPassesTestMixin


class MyView(UserPassesTestMixin, View):
    def test_func(self):
        return self.request.user.email.endswith("@example.com")

get_test_func()Link to this definition: また、get_test_func() メソッドをオーバーライドすることで、(test_func() の代わりに) 別の名前の関数をチェックに使用できます。

UserPassesTestMixin を重ねる

UserPassesTestMixin の実装上、継承リストに複数個を重ねることはできません。以下は動作しません:

Code

class TestMixin1(UserPassesTestMixin):
    def test_func(self):
        return self.request.user.email.endswith("@example.com")


class TestMixin2(UserPassesTestMixin):
    def test_func(self):
        return self.request.user.username.startswith("django")


class MyView(TestMixin1, TestMixin2, View): ...

もし TestMixin1 が super() を呼び出して、その結果を考慮すると、 TestMixin1 はスタンドアロンでは動作しなくなります。

`permission_required` デコレータLink to this heading

permission_required(perm, login_url=None, raise_exception=False)Link to this definition

ユーザが特定のパーミッションを持っているかどうかをチェックするのは、比較的一般的な作業です。そのため、 Django はそのためのショートカットを提供します: permission_required() デコレータです:

Code

from django.contrib.auth.decorators import permission_required


@permission_required("polls.add_choice")
def my_view(request): ...

has_perm() メソッドと同じように、パーミッション名は "<app label>.<permission codename>" という形式を取ります (たとえば、polls アプリケーションのモデルに対するパーミッションは polls.add_choice となります)。

この場合、ビューにアクセスするためには、ユーザはすべてのパーミッションを持っている必要があります。

また、 permission_required() は省略可能な引数として login_url も受け取ることに注意してください:

Code

from django.contrib.auth.decorators import permission_required


@permission_required("polls.add_choice", login_url="/loginpage/")
def my_view(request): ...

login_required() デコレータと同様に、 login_url のデフォルトは settings.LOGIN_URL です。

もし raise_exception パラメータが与えられた場合、デコレータは PermissionDenied を発生させ、ログインページにリダイレクトする代わりに 403 (HTTP Forbidden) ビューを表示します。

もし raise_exception を使いたいが、ユーザが最初にログインする機会を与えたい場合は、 login_required() デコレータを追加してください:

Code

from django.contrib.auth.decorators import login_required, permission_required


@login_required
@permission_required("polls.add_choice", raise_exception=True)
def my_view(request): ...

また、LoginView の redirect_authenticated_user=True で、ログインしているユーザーが必要なすべての権限を持っていない場合に、リダイレクトループを回避できます。

`PermissionRequiredMixin` ミックスインLink to this heading

クラスベースのビューにパーミッションチェックを適用するには、 PermissionRequiredMixin を使用します:

class PermissionRequiredMixinLink to this definition

このミックスインは permission_required デコレータと同様、ビューにアクセスするユーザが与えられたパーミッションをすべて保持しているかどうかをチェックします。パーミッション (またはパーミッションのイテラブル) は permission_required パラメータで指定します。

Code

from django.contrib.auth.mixins import PermissionRequiredMixin


class MyView(PermissionRequiredMixin, View):
    permission_required = "polls.add_choice"
    # Or multiple of permissions:
    permission_required = ["polls.view_choice", "polls.change_choice"]

次のように AccessMixin のパラメータを指定することで、認可されていないユーザの処理をカスタマイズできます。

これらのメソッドをオーバーライドすることもできます:

get_permission_required()Link to this definition: ミックスインが使用するパーミッション名のイテラブルを返します。デフォルトは permission_required 属性で、必要に応じてタプルに変換されます。

has_permission()Link to this definition: 現在のユーザがデコレートされたビューを実行する権限を持っているかどうかを真偽値で返します。デフォルトでは、 has_perms() を get_permission_required() によって返されたパーミッションのリストで呼び出した結果を返します。

クラスベースのビューで、不正なリクエストをリダイレクトするLink to this heading

クラスベースのビューにおけるアクセス制限の取り扱いを簡単にするために、 AccessMixin を使ってアクセスが拒否されたときのビューの動作を指定できます。認証されたユーザーはHTTP 403 Forbiddenレスポンスでアクセスを拒否されます。匿名ユーザーは raise_exception 属性に応じて、ログインページにリダイレクトされるか、HTTP 403 Forbidden レスポンスが表示されます。

class AccessMixinLink to this definition

login_urlLink to this definition: get_login_url() のデフォルトの戻り値。デフォルトは None で、この場合 get_login_url() は settings.LOGIN_URL にフォールバックします。

permission_denied_messageLink to this definition: get_permission_denied_message() のデフォルトの戻り値。デフォルトは空文字列です。

redirect_field_nameLink to this definition: get_redirect_field_name() のデフォルトの戻り値。デフォルトは "next" です。

raise_exceptionLink to this definition: この属性が True に設定されている場合、条件が満たされないと PermissionDenied 例外が発生します。 False (デフォルト) の場合、匿名ユーザはログインページにリダイレクトされます。

get_login_url()Link to this definition: テストにパスしなかったユーザーがリダイレクトされる URL を返します。設定されていれば login_url を、設定されていなければ settings.LOGIN_URL を返します。

get_permission_denied_message()Link to this definition: raise_exception が True の場合、このメソッドを使ってエラーハンドラに渡されるエラーメッセージを制御できます。デフォルトでは permission_denied_message 属性を返します。

get_redirect_field_name()Link to this definition: ログインに成功した後にユーザーがリダイレクトされる URL を含むクエリパラメータの名前を返します。これを None に設定すると、クエリパラメータは追加されません。デフォルトでは redirect_field_name 属性を返します。

handle_no_permission()Link to this definition: raise_exception の値に応じて、このメソッドは PermissionDenied 例外を発生させるか、ユーザを login_url にリダイレクトします。オプションとして redirect_field_name が指定されている場合は、それを含みます。

パスワード変更時にセッションを無効化するLink to this heading

AUTH_USER_MODEL が AbstractBaseUser を継承しているか、独自の get_session_auth_hash() メソッドを実装している場合、認証されたセッションにはこの関数が返すハッシュが含まれます。AbstractBaseUser の場合、これはパスワードフィールドの HMAC です。Django は各リクエストのセッションのハッシュが、リクエスト中に計算されたハッシュと一致することを確認します。これにより、ユーザはパスワードを変更することで、全てのセッションをログアウトできます。

Django に含まれるデフォルトのパスワード変更ビュー、 PasswordChangeView と、 django.contrib.auth admin の user_change_password ビューは、ユーザが自分のパスワードを変更してもログアウトしないように、新しいパスワードハッシュでセッションを更新します。カスタムのパスワード変更ビューがあり、同様の動作をさせたい場合は update_session_auth_hash() 関数を使用してください。

update_session_auth_hash(request, user)Link to this definition

aupdate_session_auth_hash(request, user)Link to this definition

非同期バージョン: aupdate_session_auth_hash()

この関数は現在のリクエストと、新しいセッションハッシュの元になる更新されたユーザオブジェクトを受け取り、セッションハッシュを適切に更新します。また、盗まれたセッションクッキーが無効になるようにセッションキーをローテートします。

使用例:

Code

from django.contrib.auth import update_session_auth_hash


def password_change(request):
    if request.method == "POST":
        form = PasswordChangeForm(user=request.user, data=request.POST)
        if form.is_valid():
            form.save()
            update_session_auth_hash(request, form.user)
    else:
        ...

認証ビューLink to this heading

Django の提供する複数のビューを使って、ログイン、ログアウト、パスワード管理を行うことができます。これらはビルトインの認証フォームを使用しますが、独自のフォームを使用することもできます。

認証ビュー向けのデフォルトのテンプレートはありません。使用したいビューのテンプレートを自分で作成する必要があります。テンプレートのコンテキストは各ビューに記述されているので、すべての認証ビューを参照してください。

ビューを使用するLink to this heading

プロジェクト内でこれらのビューを実装するには、いくつかの方法があります。最も簡単なのは、django.contrib.auth.urls で提供される URLconf を自分の URLconf に含めることです。たとえば、次のようにします。

Code

urlpatterns = [
    path("accounts/", include("django.contrib.auth.urls")),
]

これには、以下の URL パターンが含まれます。

Text

accounts/login/ [name='login']
accounts/logout/ [name='logout']
accounts/password_change/ [name='password_change']
accounts/password_change/done/ [name='password_change_done']
accounts/password_reset/ [name='password_reset']
accounts/password_reset/done/ [name='password_reset_done']
accounts/reset/<uidb64>/<token>/ [name='password_reset_confirm']
accounts/reset/done/ [name='password_reset_complete']

これらのビューは、より簡単に参照できる URL 名を提供します. 名前付き URL パターンの詳細については、URL のドキュメントをご覧ください。

URL をより詳細にコントロールしたい場合は、次のように URLconf 内の特定のビューを指定することもできます。

Code

from django.contrib.auth import views as auth_views

urlpatterns = [
    path("change-password/", auth_views.PasswordChangeView.as_view()),
]

これらのビューでは、挙動を操作するためのオプショナル引数を使えます。たとえば、ビューが参照するテンプレートの名前を変更したいときは、template_name 引数を指定します。引数指定の方法の 1 つは、URLconf 内でキーワード引数を渡すことです。指定した引数はビューに渡されます。たとえば、次のようにします。

Code

urlpatterns = [
    path(
        "change-password/",
        auth_views.PasswordChangeView.as_view(template_name="change-password.html"),
    ),
]

すべてのビューはクラスベースなので、サブクラス化することで容易にカスタムできます。

すべての認証ビューLink to this heading

以下は、django.contrib.auth が提供するすべてのビューのリストです。実装の詳細については、ビューを使用するを参照してください。

class LoginViewLink to this definition

URL 名: login

名前付き URL パターンの使い方は、URL のドキュメントをご覧ください。

メソッドと属性

template_nameLink to this definition: ユーザーをログインさせるビューに表示するテンプレートの名前。デフォルトは registration/login.html です。

next_pageLink to this definition: ログイン後にリダイレクトするURL。デフォルトは LOGIN_REDIRECT_URL です。

redirect_field_nameLink to this definition: ログイン後にリダイレクトする URL を含む GET フィールドの名前。デフォルトは next です。 GET パラメータが渡された場合、 get_default_redirect_url() URL をオーバーライドします。

authentication_formLink to this definition: 認証に使用する呼び出し可能オブジェクト (通常はフォームクラス) です。デフォルトは AuthenticationForm です。

extra_contextLink to this definition: テンプレートに渡されるデフォルトコンテキストデータに追加されるコンテキストデータの辞書。

redirect_authenticated_userLink to this definition: ログインページにアクセスした認証済みユーザーを、ログインに成功したかのようにリダイレクトするかどうかを制御する真偽値。デフォルトは False です。

警告

redirect_authenticated_user を有効にすると、他のウェブサイトは、あなたのウェブサイトの画像ファイルへのリダイレクト URL を要求することで、訪問者があなたのサイトで認証されているかどうかを判断できます。この「ソーシャルメディアのフィンガープリンティング」による情報漏洩を避けるには、すべての画像と favicon を別ドメインでホストしてください。

redirect_authenticated_user を有効にすると、 permission_required() デコレータを使用したときに raise_exception パラメータを使用しない限り、リダイレクトループが発生する可能性があります。

success_url_allowed_hostsLink to this definition: ログイン後にリダイレクトしても安全なホストの set を、 request.get_host() に加えて指定します。デフォルトは空の set です。

get_default_redirect_url()Link to this definition: ログイン後にリダイレクトするURLを返します。デフォルトの実装では、next_page が指定されていれば解決して返し、そうでなければ LOGIN_REDIRECT_URL を返します。

以下は LoginView の機能です:

GET で呼び出すと、同じURLにPOSTするログインフォームを表示します。これについてはもう少し詳しく説明します。
ユーザが送信した認証情報を使って POST 経由で呼び出された場合、ユーザをログインさせようとします。ログインに成功すると、ビューは next で指定された URL にリダイレクトします。もし next が指定されていない場合、 settings.LOGIN_REDIRECT_URL (デフォルトは /accounts/profile/) にリダイレクトします。ログインが成功しなかった場合、ログインフォームを再表示します。

デフォルトでは registration/login.html と呼び出されるログインテンプレートのhtmlを提供するのはあなたの責任です。このテンプレートには以下の4つのテンプレートコンテキスト変数が渡されます:

form: AuthenticationForm を表す Form オブジェクトです。
next: ログイン成功後にリダイレクトするURL。これはクエリ文字列を含むこともできます。
site: SITE_ID 設定に基づく現在の Site 。サイトフレームワークがインストールされていない場合、 RequestSite のインスタンスに設定されます。このインスタンスは現在の HttpRequest からサイト名とドメインを派生させます。
site_name: site.name のエイリアス。サイトフレームワークがインストールされていない場合、 request.META['SERVER_NAME'] の値がセットされます。サイトについての詳細は "sites" フレームワークを参照してください。

もしテンプレート registration/login.html を呼び出したくない場合は、URLconfの as_view メソッドに追加引数として template_name パラメータを渡します。たとえば、この URLconf の行では、代わりに myapp/login.html を使用します:

Code

path("accounts/login/", auth_views.LoginView.as_view(template_name="myapp/login.html")),

また、ログイン後にリダイレクトする URL を含む GET フィールドの名前を指定するには、 redirect_field_name を使います。このフィールドは、デフォルトでは next と命名されます。

以下は registration/login.html テンプレートのサンプルです。これは content ブロックを定義した base.html テンプレートがあることを前提としています:

Django template

{% extends "base.html" %}

{% block content %}

{% if form.errors %}
<p>Your username and password didn't match. Please try again.</p>
{% endif %}

{% if next %}
    {% if user.is_authenticated %}
    <p>Your account doesn't have access to this page. To proceed,
    please login with an account that has access.</p>
    {% else %}
    <p>Please login to see this page.</p>
    {% endif %}
{% endif %}

<form method="post" action="{% url 'login' %}">
{% csrf_token %}
<table>
<tr>
    <td>{{ form.username.label_tag }}</td>
    <td>{{ form.username }}</td>
</tr>
<tr>
    <td>{{ form.password.label_tag }}</td>
    <td>{{ form.password }}</td>
</tr>
</table>

<input type="submit" value="login">
<input type="hidden" name="next" value="{{ next }}">
</form>

{# Assumes you set up the password_reset view in your URLconf #}
<p><a href="{% url 'password_reset' %}">Lost password?</a></p>

{% endblock %}

認証をカスタマイズしている場合 (認証をカスタマイズするを参照してください)、 authentication_form 属性を指定することでカスタム認証フォームを使用できます。このフォームは __init__() メソッドで request キーワード引数を受け取り、認証されたユーザオブジェクトを返す get_user() メソッドを提供しなければなりません (このメソッドはフォームの認証が成功した後にのみ呼び出されます)。

class LogoutViewLink to this definition

POST リクエストでユーザーをログアウトさせます。

URL 名: logout

属性:

next_pageLink to this definition: ログアウト後にリダイレクトするURL。デフォルトは LOGOUT_REDIRECT_URL です。

template_nameLink to this definition: ユーザーをログアウトさせた後に表示するテンプレートのフルネーム。デフォルトは registration/logged_out.html です。

redirect_field_nameLink to this definition: ログアウト後にリダイレクトする URL を含む GET フィールドの名前。デフォルトは 'next' です。 GET パラメータが渡された場合、 next_page URL を上書きします。

extra_contextLink to this definition: テンプレートに渡されるデフォルトコンテキストデータに追加されるコンテキストデータの辞書。

success_url_allowed_hostsLink to this definition: request.get_host() に加えて、ログアウト後にリダイレクトしても安全なホストの set を指定します。デフォルトは空の set です。

テンプレートコンテキスト:

title: 文字列 "Logged out"。これはローカライズされています。
site: SITE_ID 設定に基づく現在の Site 。サイトフレームワークがインストールされていない場合、 RequestSite のインスタンスに設定されます。このインスタンスは現在の HttpRequest からサイト名とドメインを派生させます。
site_name: site.name のエイリアス。サイトフレームワークがインストールされていない場合、 request.META['SERVER_NAME'] の値がセットされます。サイトについての詳細は "sites" フレームワークを参照してください。

logout_then_login(request, login_url=None)Link to this definition

POST リクエストでユーザーをログアウトさせ、ログインページにリダイレクトします。

URL 名: デフォルトのURLはありません。

オプションの引数:

login_url: リダイレクト先のログインページのURL。省略時のデフォルトは settings.LOGIN_URL です。

class PasswordChangeViewLink to this definition

URL 名: password_change

ユーザーがパスワードを変更できるようにします。

属性:

template_nameLink to this definition: パスワード変更フォームの表示に使用するテンプレートのフルネーム。指定しない場合のデフォルトは registration/password_change_form.html です。

success_urlLink to this definition: パスワード変更成功後にリダイレクトする URL。デフォルトは 'password_change_done' です。

form_classLink to this definition: キーワード引数 user を受け付けるカスタム "change password" フォームです。このフォームはユーザのパスワードを実際に変更する役割を持ちます。デフォルトは PasswordChangeForm です。

extra_contextLink to this definition: テンプレートに渡されるデフォルトコンテキストデータに追加されるコンテキストデータの辞書。

テンプレートコンテキスト:

form: パスワード変更フォーム (上記の form_class を参照)。

class PasswordChangeDoneViewLink to this definition

URL 名: password_change_done

ユーザーがパスワードを変更した後に表示されるページです。

属性:

template_nameLink to this definition: 使用するテンプレートのフルネーム。指定しない場合のデフォルトは registration/password_change_done.html です。

extra_contextLink to this definition: テンプレートに渡されるデフォルトコンテキストデータに追加されるコンテキストデータの辞書。

class PasswordResetViewLink to this definition

URL 名: password_reset

パスワードをリセットするために使われる 1 回限り有効なリンクを生成し、ユーザがパスワードをリセットできるようにします。そのリンクはユーザーが登録したメールアドレスに送信されます。

このビューは、以下の条件が満たされた場合にメールを送信します:

入力されたメールアドレスがシステムに存在すること。
要求されたユーザーがアクティブであること (User.is_active が True であること)。
要求されたユーザが使用可能なパスワードを持っていること。LDAP のような外部認証ソースを使用している場合、悪用を防ぐために、使用不可能なパスワード (set_unusable_password() を参照) のフラグが付けられたユーザはパスワードのリセットを要求できません。

これらの条件のいずれかが満たされない場合、メールは送信されませんが、ユーザーにはエラーメッセージは送信されません。これは、潜在的な攻撃者への情報漏洩を防ぐためです。この場合にエラーメッセージを表示したい場合は、 PasswordResetForm をサブクラス化して、 form_class 属性を使用してください。

属性:

template_nameLink to this definition: パスワードリセットフォームの表示に使用するテンプレートのフルネーム。指定しない場合のデフォルトは registration/password_reset_form.html です。

form_classLink to this definition: パスワードをリセットするためのユーザのメールアドレス入力用のフォーム。デフォルトは PasswordResetForm です。

email_template_nameLink to this definition: リセットパスワードのリンクとともに生成されるメールを生成するためのテンプレート名。指定しない場合のデフォルトは registration/password_reset_email.html です。

subject_template_nameLink to this definition: パスワードリセットリンクのメールの件名に使用するテンプレートのフルネーム。指定しない場合のデフォルトは registration/password_reset_subject.txt です。

token_generatorLink to this definition: 1 回限りのリンクをチェックするためのクラスのインスタンス。デフォルトは default_token_generator で、これは django.contrib.auth.tokens.PasswordResetTokenGenerator のインスタンスです。

success_urlLink to this definition: パスワードリセットのリクエストに成功した後にリダイレクトする URL。デフォルトは 'password_reset_done' です。

from_emailLink to this definition: 検証済みのメールアドレス。デフォルトでは、Django は DEFAULT_FROM_EMAIL を使います。

extra_contextLink to this definition: テンプレートに渡されるデフォルトコンテキストデータに追加されるコンテキストデータの辞書。

html_email_template_nameLink to this definition: パスワードリセットのリンクとともに送信される text/html のマルチパートのメールを生成するためのテンプレートのフルネーム。デフォルトでは、HTML メールは送信されません。

extra_email_contextLink to this definition: メールテンプレートで利用可能なコンテキストデータの辞書。たとえば domain のようなデフォルトのテンプレートコンテキストの値を上書きするために使用できます。

テンプレートコンテキスト:

form: ユーザのパスワードをリセットするためのフォーム (上述の form_class を参照)。

メールテンプレートのコンテキスト:

email: user.email の別名 (エイリアス) です。
user: 現在の User で、email フォームフィールドから取得されます。アクティブなユーザ (User.is_active が True) だけがパスワードをリセットできます。
site_name: site.name のエイリアス。サイトフレームワークがインストールされていない場合、 request.META['SERVER_NAME'] の値がセットされます。サイトについての詳細は "sites" フレームワークを参照してください。
domain: site.domain の別名 (エイリアス) 。サイトのフレームワークをインストールしていない場合、request.get_host() の値がセットされます。
protocol: http か https です。
uid: Base 64 でエンコードされたユーザのプライマリキー。
token: リセットリンクを検証するためのトークン。

以下は、サンプルの registration/password_reset_email.html (メール本文のテンプレート) です。

Django template

Someone asked for password reset for email {{ email }}. Follow the link below:
{{ protocol}}://{{ domain }}{% url 'password_reset_confirm' uidb64=uid token=token %}

表題のテンプレートにも同じテンプレートコンテキストが使われます。表題は 1 行のプレーンテキスト文字列の必要があります。

class PasswordResetDoneViewLink to this definition

URL 名: password_reset_done

パスワードリセット用のリンクがユーザにメール送信された後に表示されるページです。このビューは、デフォルトで PasswordResetView に明示的な success_url URL セットが指定されていないときに呼び出されます。

属性:

template_nameLink to this definition: 使用するテンプレートのフルネーム。デフォルトは registration/password_reset_done.html です。

extra_contextLink to this definition: テンプレートに渡されるデフォルトコンテキストデータに追加されるコンテキストデータの辞書。

class PasswordResetConfirmViewLink to this definition

URL 名: password_reset_confirm

新しいパスワードを入力するためのフォームを提供します。

URL からのキーワード引数:

uidb64: Base 64 でエンコードされたユーザの ID 。
token: パスワードが有効かを確認するためのトークン。

属性:

template_nameLink to this definition: パスワード確認のビューを表示するためのテンプレートの名前。デフォルト値は registration/password_reset_confirm.html です。

token_generatorLink to this definition: パスワードをチェックするクラスのインスタンス。デフォルトは default_token_generator で、これは django.contrib.auth.tokens.PasswordResetTokenGenerator のインスタンスです。

post_reset_loginLink to this definition: パスワードリセットに成功した後、ユーザーを自動的に認証するかどうかを示す真偽値。デフォルトは False です。

post_reset_login_backendLink to this definition: post_reset_login が True の場合にユーザーを認証する際に使用する認証バックエンドへのドット区切りパス。これは AUTHENTICATION_BACKENDS を複数設定している場合にのみ必要です。デフォルトは None です。

form_classLink to this definition: パスワードを設定するためのフォーム。デフォルトは SetPasswordForm です。

success_urlLink to this definition: パスワードリセット完了後にリダイレクトする URL。デフォルトは 'password_reset_complete' です。

extra_contextLink to this definition: テンプレートに渡されるデフォルトコンテキストデータに追加されるコンテキストデータの辞書。

reset_url_tokenLink to this definition: パスワードリセットURLのコンポーネントとして表示されるトークンパラメータ。デフォルトは 'set-password' です。

テンプレートコンテキスト:

form: 新しいユーザーのパスワードを設定するフォーム (上記の form_class を参照)。
validlink: 真偽値で、リンク (uidb64 と token の組み合わせ) が有効か、まだ使われていない場合に True となります。

class PasswordResetCompleteViewLink to this definition

URL 名: password_reset_complete

パスワードの変更が成功したことをユーザに知らせるためのビューを提供します。

属性:

template_nameLink to this definition: ビューを表示するためのテンプレートのフルネーム。デフォルトは registration/password_reset_complete.html です。

extra_contextLink to this definition: テンプレートに渡されるデフォルトコンテキストデータに追加されるコンテキストデータの辞書。

ヘルパー関数Link to this heading

redirect_to_login(next, login_url=None, redirect_field_name='next')Link to this definition

ログインページにリダイレクトし、ログイン成功後にもう 1 つの URL に戻ります。

必須の引数:

next: ログイン成功後のリダイレクト先の URL です。

オプションの引数:

login_url: リダイレクト先のログインページのURL。省略時のデフォルトは settings.LOGIN_URL です。
redirect_field_name: ログイン後のリダイレクト先の URL を含む GET フィールドの名前。指定された GET パラメータが与えられた場合、next をオーバーライドします。

ビルトインのフォームLink to this heading

ビルトインのビューを使いたくないけれども、ビューの機能を再利用したいと考えている場合、認証システムが提供しているビルトインのフォームを使うことができます。ビルトインのフォームは django.contrib.auth.forms にあります。

class AdminPasswordChangeFormLink to this definition

ユーザのパスワードを変更するために admin インターフェイス内で使われるフォームです。

第 1 引数として user を取ります。

class AuthenticationFormLink to this definition

ユーザーログインのためのフォームです。

第 1 引数として request を取り、サブクラスで使えるようにフォームのインスタンス上に保持されます。

confirm_login_allowed(user)Link to this definition

デフォルトでは、AuthenticationForm は is_active フラグが False にセットされたユーザを拒否します。どのユーザがログインできるかを決定する独自のポリシーによって、この挙動をオーバーライドできます。AuthenticationForm をサブクラス化した独自のフォームを使って、confirm_login_allowed() メソッドを上書きしてください。指定されたユーザがログインできない場合、このメソッドは ValidationError を投げます。

たとえば、"active" ステータスにかかわらず全てのユーザにログインを許可するには:

Code

from django.contrib.auth.forms import AuthenticationForm


class AuthenticationFormWithInactiveUsersOkay(AuthenticationForm):
    def confirm_login_allowed(self, user):
        pass

(この例では、非アクティブのユーザを許可する認証バックエンドの使用も必要となります。たとえば AllowAllUsersModelBackend などです。)

または、何人かのアクティブユーザのみにログインを許可するには、以下のようにします:

Code

class PickyAuthenticationForm(AuthenticationForm):
    def confirm_login_allowed(self, user):
        if not user.is_active:
            raise ValidationError(
                _("This account is inactive."),
                code="inactive",
            )
        if user.username.startswith("b"):
            raise ValidationError(
                _("Sorry, accounts starting with 'b' aren't welcome here."),
                code="no_b_users",
            )

class PasswordChangeFormLink to this definition: ユーザがパスワードを変更できるようにするフォームです。

class PasswordResetFormLink to this definition

ユーザのパスワードリセットするための 1 回限りのリンクを生成してメール送信するためのフォームです。

send_mail(subject_template_name, email_template_name, context, from_email, to_email, html_email_template_name=None)Link to this definition

Uses the arguments to send an EmailMultiAlternatives. Can be overridden to customize how the email is sent to the user. If you choose to override this method, be mindful of handling potential exceptions raised due to email sending failures.

パラメータ:

subject_template_name -- 表題用のテンプレートです。
email_template_name -- メール本文用のテンプレートです。
context -- subject_template、email_template、html_email_template (None ではない場合のみ) に渡されるコンテキストです。
from_email -- 送信者のメールです。
to_email -- リクエストしてきたユーザのメールです。
html_email_template_name -- HTML 本文用のテンプレートです; デフォルトは None で、この場合プレーンテキストのメールが送信されます。

デフォルトでは、save() は PasswordResetView がメールコンテキストに渡すのと同じ変数を持つ context を返します。

class SetPasswordFormLink to this definition: 古いパスワードを入力しないでパスワードを変更できるようにするフォームです。

class UserChangeFormLink to this definition: ユーザの情報とパーミッションを変更するために admin インターフェイスで使われるフォームです。

class BaseUserCreationFormLink to this definition

新しいユーザを作成するための ModelForm です。これは、ユーザ作成フォームをカスタマイズする必要がある場合に推奨される基本クラスです。

username (ユーザモデルより)、password1、password2 という3つのフィールドがあります。password1 と password2 が一致するか確認し、validate_password() を使ってパスワードを検証します。そして、set_password() を使ってユーザのパスワードをセットします。

class UserCreationFormLink to this definition: BaseUserCreationForm を継承しています。似たようなユーザ名による混乱を防ぐために、このフォームでは大文字小文字が異なるだけのユーザ名は使用できません。

Changed in Django 4.2
古いバージョンでは、 UserCreationForm はカスタムユーザモデルの多対多のフォームフィールドを保存していませんでした。

古いバージョンでは、大文字と小文字が異なるだけのユーザー名が許可されています。

テンプレート内の認証データLink to this heading

RequestContext を使うと、現在ログインしているユーザとパーミッションをテンプレートコンテキスト内で使えるようにできます。

ユーザLink to this heading

テンプレート RequestContext をレンダリングするとき、現在ログイン中のユーザ (User インスタンスか AnonymousUser のどちらか) はテンプレート変数 {{ user }} 内に格納されます:

Django template

{% if user.is_authenticated %}
    <p>Welcome, {{ user.username }}. Thanks for logging in.</p>
{% else %}
    <p>Welcome, new user. Please log in.</p>
{% endif %}

RequestContext が使用されていない場合、このテンプレートコンテキスト変数は無効となります。

パーミッションLink to this heading

現在ログイン中のユーザのパーミッションは、テンプレート変数 {{ perms }} 内に保持されています。これは django.contrib.auth.context_processors.PermWrapper のインスタンスで、パーミッションをテンプレートで使いやすくするための代替表現です。

真偽値として {{ perms }} の単一属性ルックアップを評価することは User.has_module_perms() の代替となります。たとえば、ログインしているユーザが foo アプリで何らかの権限を持っているかどうかを調べるには次のようにします:

Django template

{% if perms.foo %}

2段階の属性ルックアップを真偽値として評価することは User.has_perm() の代替となります。たとえば、ログインしているユーザが foo.add_vote というパーミッションを持っているかどうかを調べるには、次のようにします:

Django template

{% if perms.foo.add_vote %}

以下は、テンプレートで権限をチェックする、より完全な例です:

Django template

{% if perms.foo %}
    <p>You have permission to do something in the foo app.</p>
    {% if perms.foo.add_vote %}
        <p>You can vote!</p>
    {% endif %}
    {% if perms.foo.add_driving %}
        <p>You can drive!</p>
    {% endif %}
{% else %}
    <p>You don't have permission to do anything in the foo app.</p>
{% endif %}

{% if in %} ステートメントを使ってパーミッションをルックアップすることも可能です。例えば:

Django template

{% if 'foo' in perms %}
    {% if 'foo.add_vote' in perms %}
        <p>In lookup works, too.</p>
    {% endif %}
{% endif %}

admin 内でユーザを管理するLink to this heading

django.contrib.admin と django.contrib.auth の両方をインストールしていれば、admin でユーザ、グループおよびパーミッションを見たり管理することが簡単にできます。ユーザは通常の Django モデルと同じく作成や削除ができます。グループも作成することができ、パーミッションはユーザやグループにアサインできます。admin でのユーザー編集のログも保管および表示されます。

ユーザを作成するLink to this heading

admin のメインインデックスページの "Auth" セクションに "Users" へのリンクがあります。"Add user" ページは通常の admin ページとは異なり、他のユーザーのフィールドを編集する際に、ユーザ名とパスワードを選択する必要があります。

また、Django の admin サイトを使用してユーザアカウントを作成できるようにするには、ユーザを追加 および 変更する権限をユーザに与える必要があります (つまり "Add user" と "Change user" パーミッション)。あるアカウントにユーザの追加権限のみが与えられ変更権限がない場合、そのアカウントはユーザを追加できません。なぜなら、追加権限によってスーパーユーザを作成することができ、そのスーパーユーザを使って他のユーザーを変更することができてしまうからです。そのため、Django はちょっとしたセキュリティ対策として、追加と変更の両方の権限を必要とするのです。

ユーザに与えるパーミッション管理の権限については、よく考える必要があります。たとえば非スーパーユーザにユーザ編集の権限を与えてしまうと、結果的に彼らにスーパーユーザと同じ能力を与えることになります。というのも、彼らはユーザ編集の権限によってユーザのパーミッションを昇格させることができるため、彼ら自身のパーミッションも昇格させられるのです！

パスワードを変更するLink to this heading

ユーザーのパスワードは管理画面には表示されません(データベースにも保存されません)が、パスワード保管についての詳細は表示されます。この情報の表示には、管理者がユーザーパスワードを変更するためのパスワード変更フォームへのリンクが含まれています。

Djangoの認証システムを使用するLink to this heading#

User オブジェクトLink to this heading#

ユーザを作成するLink to this heading#

スーパーユーザを作成するLink to this heading#

パスワードを変更するLink to this heading#

ユーザを認証するLink to this heading#

権限と認可Link to this heading#

デフォルトの権限Link to this heading#

グループLink to this heading#

プログラムによる権限の作成Link to this heading#

権限のキャッシュLink to this heading#

プロキシモデルLink to this heading#

Web リクエストにおける認証Link to this heading#

ユーザーをログインさせる方法Link to this heading#

認証バックエンドの選択Link to this heading#

ユーザーをログアウトさせる方法Link to this heading#

ログインしているユーザーにアクセスを制限するLink to this heading#

原理的な方法Link to this heading#

login_required デコレータLink to this heading#

LoginRequiredMixin mixinLink to this heading#

テストをパスしたログイン済みユーザのアクセスを制限するLink to this heading#

permission_required デコレータLink to this heading#

PermissionRequiredMixin ミックスインLink to this heading#

クラスベースのビューで、不正なリクエストをリダイレクトするLink to this heading#

パスワード変更時にセッションを無効化するLink to this heading#

認証ビューLink to this heading#

ビューを使用するLink to this heading#

すべての認証ビューLink to this heading#

ヘルパー関数Link to this heading#

ビルトインのフォームLink to this heading#

テンプレート内の認証データLink to this heading#

ユーザLink to this heading#

パーミッションLink to this heading#

admin 内でユーザを管理するLink to this heading#

ユーザを作成するLink to this heading#

パスワードを変更するLink to this heading#

Djangoの認証システムを使用するLink to this heading

`User` オブジェクトLink to this heading

ユーザを作成するLink to this heading

スーパーユーザを作成するLink to this heading

パスワードを変更するLink to this heading

ユーザを認証するLink to this heading

権限と認可Link to this heading

デフォルトの権限Link to this heading

グループLink to this heading

プログラムによる権限の作成Link to this heading

権限のキャッシュLink to this heading

プロキシモデルLink to this heading

Web リクエストにおける認証Link to this heading

ユーザーをログインさせる方法Link to this heading

認証バックエンドの選択Link to this heading

ユーザーをログアウトさせる方法Link to this heading

ログインしているユーザーにアクセスを制限するLink to this heading

原理的な方法Link to this heading

`login_required` デコレータLink to this heading

`LoginRequiredMixin` mixinLink to this heading

テストをパスしたログイン済みユーザのアクセスを制限するLink to this heading

`permission_required` デコレータLink to this heading

`PermissionRequiredMixin` ミックスインLink to this heading

クラスベースのビューで、不正なリクエストをリダイレクトするLink to this heading

パスワード変更時にセッションを無効化するLink to this heading

認証ビューLink to this heading

ビューを使用するLink to this heading

すべての認証ビューLink to this heading

ヘルパー関数Link to this heading

ビルトインのフォームLink to this heading

テンプレート内の認証データLink to this heading

ユーザLink to this heading

パーミッションLink to this heading

admin 内でユーザを管理するLink to this heading

ユーザを作成するLink to this heading

パスワードを変更するLink to this heading