本文档介绍了 Django 验证系统在默认配置下的使用方法。默认配置满足最常见的项目需求，可以处理相当多的任务，还有一个安全的密码和权限实现。对于验证需求与默认配置不同的项目，Django 支持对身份验证进行扩展和定制。
\nDjango 验证同时提供身份验证和授权，通常称为身份验证系统，因为这些功能在某种程度上是耦合的。
\nUser 对象Link to this heading#用户对象是认证系统的核心。它通常代表了与你的站点交互的人员，并用于允许诸如限制访问、注册用户配置文件、将内容与创建者关联等功能。Django 的认证框架中用户只有一个类，例如 “超级管理员”或“普通管理员”只是具有特殊属性集的用户对象，而不是用户对象的不同类。
\n默认用户的主要属性是：
\n请参阅完整的API文档 full API documentation 以获得完整的参考，下面的文档主要以任务为导向。
创建用户最直接的方法是使用包含 create_user() 的函数：
>>> from django.contrib.auth.models import User\n>>> user = User.objects.create_user('john', 'lennon@thebeatles.com', 'johnpassword')\n\n# At this point, user is a User object that has already been saved\n# to the database. You can continue to change its attributes\n# if you want to change other fields.\n>>> user.last_name = 'Lennon'\n>>> user.save()\n如果你已经安装了 Django admin 管理后台，你也可以在 admin 管理后台交互式地创建用户:ref:create users interactively <auth-admin> 。
\n通过命令行 createsuperuser 创建超级管理员：
$ python manage.py createsuperuser --username=joe --email=joe@example.com\n你将会被提示输入密码，完成之后，超级管理员就被创建成功了。如果你没有填写参数 --username <createsuperuser --username> ` or :option:--email <createsuperuser --email>` ，也将会被提示输入这些值。
Django 不会在用户模型里保存原始(明文)密码，而只会存储哈希值(请参阅文档 如何管理密码 documentation of how passwords are managed ) 。因此，请不要试图直接操作用户的密码，这就是创建用户需要辅助函数的原因。
\n更改一个用户的密码，你有几个选择：
\nmanage.py changepassword *username* 提供了在命令行修改用户密码的方法。它会提示你输入两次新密码，如果操作成功，新密码就立刻生效。如果你没有提供参数 username ，那么将会尝试修改当前系统用户的密码。
你也可以在代码里修改密码，使用 set_password():
>>> from django.contrib.auth.models import User\n>>> u = User.objects.get(username='john')\n>>> u.set_password('new password')\n>>> u.save()\n如果你已经按照了 Django admin 管理后台，你也可以在管理后台页面修改密码（请参阅 :ref:`authentication system's admin pages ` ）。
\nDjango 还提供了允许用户自行修改密码的 :ref:`views ` 和 :ref:`forms ` 。
\n修改密码将会注销用户的所有会话。查看详情请参阅 密码更改时会话失效 。
\n使用 authenticate() 来验证用户。它使用 username 和 password 作为参数来验证，对每个身份验证后端( authentication backend ` )进行检查。如果后端验证有效，则返回一个 :class:`~django.contrib.auth.models.User 对象。如果后端引发 PermissionDenied 错误，将返回 None。举例：
from django.contrib.auth import authenticate\nuser = authenticate(username='john', password='secret')\nif user is not None:\n # A backend authenticated the credentials\nelse:\n # No backend authenticated the credentials\nrequest 是可选的 HttpRequest ，它在身份验证后端上的 authenticate() 方法来传递。
Django 使用 sessions 和中间件将身份验证系统挂接到请求对象中。
\n它们在每次请求中都会提供 request.user 属性。如果当前没有用户登录，这个属性将会被设置为 AnonymousUser ，否则将会被设置为 User 实例。
你可以使用 is_authenticated 区分两者，例如：
if request.user.is_authenticated:\n # Do something for authenticated users.\n ...\nelse:\n # Do something for anonymous users.\n ...\n如果有一个已验证的用户想附加到当前会话(session)中，将通过 login() 函数完成。
要在视图中让用户登录，使用 login() 。它需要 HttpRequest 对象和 User 对象。通过 Django 的 session 框架， login() 会在 session 中保存用户的ID。
注意，在匿名会话期间设置的任何数据都会在用户登录后保留在会话中。
\n这个例子展示了如何使用 authenticate() 和 login(): ：
from django.contrib.auth import authenticate, login\n\ndef my_view(request):\n username = request.POST['username']\n password = request.POST['password']\n user = authenticate(request, username=username, password=password)\n if user is not None:\n login(request, user)\n # Redirect to a success page.\n ...\n else:\n # Return an 'invalid login' error message.\n ...\n当用户登录时，用户 ID 和用于身份验证的后端会被保存在用户会话中。允许相同的 authentication backend 在未来的请求中获取用户详情。选择要在会话中保存的验证后端如下：
\n使用提供了的可选 backend 参数值。
使用 user.backend 的值。允许配对 authenticate() 和 login() ：当返回用户对象时 authenticate() 设置 user.backend 属性。
使用 AUTHENTICATION_BACKENDS 存在的 backend 。
否则，抛出一个异常。
在1和2中，backend 参数和 user.backend 属性应该是完整的导入路径（像 AUTHENTICATION_BACKENDS 里的路径一样），而不是真实的后端类。
如果已经通过 django.contrib.auth.login() 登录的用户想退出登录，可以在视图中使用 django.contrib.auth.logout() 。需要传入 HttpRequest 对象，并且该函数不会返回值。例如：
from django.contrib.auth import logout\n\ndef logout_view(request):\n logout(request)\n # Redirect to a success page.\n注意，如果用户未登录，logout() 不会报错。
When you call logout(), the session data for\nthe current request is completely cleaned out. All existing data is\nremoved. This is to prevent another person from using the same web browser\nto log in and have access to the previous user's session data. If you want\nto put anything into the session that will be available to the user\nimmediately after logging out, do that after calling\ndjango.contrib.auth.logout().
限制访问页面最原始的办法就是检查 request.user.is_authenticated 并重定向到登录页面。
from django.conf import settings\nfrom django.shortcuts import redirect\n\ndef my_view(request):\n if not request.user.is_authenticated:\n return redirect('%s?next=%s' % (settings.LOGIN_URL, request.path))\n # ...\n或者显示一个错误信息：
\nfrom django.shortcuts import render\n\ndef my_view(request):\n if not request.user.is_authenticated:\n return render(request, 'myapp/login_error.html')\n # ...\nlogin_required 装饰器Link to this heading#作为快捷方式，你可以使用 login_required() 装饰器:
from django.contrib.auth.decorators import login_required\n\n@login_required\ndef my_view(request):\n ...\nlogin_required() 会执行以下操作：
如果用户没有登录，会重定向到 settings.LOGIN_URL ，并传递绝对路径到查询字符串中。例如： /accounts/login/?next=/polls/3/ 。
如果用户已经登录，则正常执行视图。视图里的代码可以假设用户已经登录了。
默认情况下，成功验证时用户跳转的路径保存在名为 "next" 的查询字符串参数中。如果你希望这个参数使用不同名称，请在 login_required() 中传递可选参数 redirect_field_name ：
from django.contrib.auth.decorators import login_required\n\n@login_required(redirect_field_name='my_redirect_field')\ndef my_view(request):\n ...\n注意，如果你提供了 redirect_field_name 值，则很可能也需要自定义登录模板，因为存储重定向路径的模板上下文变量使用的是 redirect_field_name 值，而不是 "next" （默认情况下）。
login_required() 也有可选参数 login_url 。例如：
from django.contrib.auth.decorators import login_required\n\n@login_required(login_url='/accounts/login/')\ndef my_view(request):\n ...\n注意，如果你没有指定参数 login_url ，你需要确认 settings.LOGIN_URL 和登录视图是正确关联的。例如，使用默认方式，在 URL 配置文件里添加下面这行：
from django.contrib.auth import views as auth_views\n\npath('accounts/login/', auth_views.LoginView.as_view()),\nsettings.LOGIN_URL 也接受视图方法名和 named URL patterns 。这样你可以在 URLconf 里自由地重新映射你的登录视图，而不需更新配置文件。
LoginRequired MixinLink to this heading#使用基于类的视图时，可以使用 LoginRequiredMixin 实现和 login_required 相同的行为。这个 Mixin 应该在继承列表中最左侧的位置。
如果一个视图使用 Mixin ，那么未经验证用户的所有请求都会被重定向到登录页面或者显示 HTTP 403 Forbidden 错误，这取决于 raise_exception 参数。
你可以设置 AccessMixin 的任何参数来自定义未验证用户的处理：
from django.contrib.auth.mixins import LoginRequiredMixin\n\nclass MyView(LoginRequiredMixin, View):\n login_url = '/login/'\n redirect_field_name = 'redirect_to'\n根据某些权限或者其他测试来限制访问，你基本上可以执行和上一节所述同样的操作。
\n可以在视图里直接对 request.user 进行测试。举例，这个视图检查用户是否拥有特定域名的邮箱，否则会重定向到登录页：
from django.shortcuts import redirect\n\ndef my_view(request):\n if not request.user.email.endswith('@example.com'):\n return redirect('/login/?next=%s' % request.path)\n # ...\n作为快捷方式，你可以方便的调用 user_passes_test 装饰器，当调用返回 False 时会执行重定向。
from django.contrib.auth.decorators import user_passes_test\n\ndef email_check(user):\n return user.email.endswith('@example.com')\n\n@user_passes_test(email_check)\ndef my_view(request):\n ...\nuser_passes_test() 接受一个必要的参数：一个带有:class:~django.contrib.auth.models.User 对象的调用，如果允许用户访问这个页面，则返回 True 。注意，user_passes_test() 不会自动检查用户是否匿名。
user_passes_test() 可以传递两个可选参数：
login_url允许你指定用户没有通过测试时跳转的地址。它可能是一个登录页面，如果你没指定，默认是 settings.LOGIN_URL 。
redirect_field_name与 login_required() 相同。如果你想把没通过检查的用户重定向到没有 "next page" 的非登录页面时，把它设置为 None ，这样它会在 URL 中移除。
例如：
\n@user_passes_test(email_check, login_url='/login/')\ndef my_view(request):\n ...\n使用基于类的视图时，可以使用 UserPassesTestMixin 执行此操作。
你必须覆盖类方法 test_func() 以提供执行的测试。此外，还可以设置 AccessMixin 的任何参数来自定义处理未授权用户：
from django.contrib.auth.mixins import UserPassesTestMixin\n\nclass MyView(UserPassesTestMixin, View):\n\n def test_func(self):\n return self.request.user.email.endswith('@example.com')\n你也可以覆盖 get_test_func() 方法，以使 mixin 对其检查使用不同名称的函数（而不是 test_func() ）。
permission_required 装饰器Link to this heading#检查用户是否拥有特定的权限是一个相对常见的任务。出于这个原因，Django 提供了一个快捷方式：permission_required() 装饰器：
from django.contrib.auth.decorators import permission_required\n\n@permission_required('polls.add_choice')\ndef my_view(request):\n ...\n就像 has_perm() 方法一样，权限名称采用 "<app label>.<permission codename>" 形式（比如 polls.polls.add_choice 就是 polls 应用程序下的模型的权限）。
装饰器也可以接受可迭代权限，在这种情况下，用户必须拥有所有权限才能访问视图。
\n注意， permission_required() 也可以接受可选的 login_url 参数：
from django.contrib.auth.decorators import permission_required\n\n@permission_required('polls.add_choice', login_url='/loginpage/')\ndef my_view(request):\n ...\n和 login_required() 装饰器一样， login_url 默认是:setting:settings.LOGIN_URL <LOGIN_URL>。
如果有 raise_exception 参数，那么装饰器将引发 PermissionDenied 错误，提示 the 403 (HTTP Forbidden) view 而不是跳转到登录页面。
如果你想使用 raise_exception 但也想给用户登录的机会，那需要添加 login_required() 装饰器：
from django.contrib.auth.decorators import login_required, permission_required\n\n@login_required\n@permission_required('polls.add_choice', raise_exception=True)\ndef my_view(request):\n ...\n当 LoginView 的 redirect_authenticated_user=True 并且已登录用户没有所有必须的权限时，这避免了重定向循环。
PermissionRequiredMixin MixinLink to this heading#在 class-based views 中应用权限检查，你可以使用 PermissionRequiredMixin ：
和 permission_required 装饰器一样，Mixin 检查用户访问的视图是否拥有全部的权限。你应该使用 permission_required 指定权限（或者可迭代权限）：
from django.contrib.auth.mixins import PermissionRequiredMixin\n\nclass MyView(PermissionRequiredMixin, View):\n permission_required = 'polls.add_choice'\n # Or multiple of permissions:\n permission_required = ('polls.view_choice', 'polls.change_choice')\n你可以设置 AccessMixin 的任意参数来自定义处理没有权限的用户。
你可能同样需要重写这些方法：
\n返回 Mixin 使用的可迭代权限的名称。默认为 permission_required 属性，如果需要可以转化为元组。
返回布尔值，表示当前用户是否拥有权限执行装饰器视图。默认情况下，这将返回调用 has_perms() 的结果，其中包括返回 get_permission_required() 的权限列表。
Django 提供许多可以用来处理登录、注销和密码管理的视图。这些利用了 stock auth forms ，但你也可以使用自己的表单。
\nDjango 没有为验证视图提供默认模板。你可以为你打算使用的视图创建自己的模板。每个视图都记录了模板上下文，详情查看 所有的验证视图 。
\n在项目中可以使用不同方法来实现这些视图。最简单的方法就是在 URLconf 中包含 django.contrib.auth.urls 提供的 URLconf 。举例：
urlpatterns = [\n path('accounts/', include('django.contrib.auth.urls')),\n]\n这将包含以下 URL 模式：
\naccounts/login/ [name='login']\naccounts/logout/ [name='logout']\naccounts/password_change/ [name='password_change']\naccounts/password_change/done/ [name='password_change_done']\naccounts/password_reset/ [name='password_reset']\naccounts/password_reset/done/ [name='password_reset_done']\naccounts/reset/<uidb64>/<token>/ [name='password_reset_confirm']\naccounts/reset/done/ [name='password_reset_complete']\n视图提供 URL 名称以便参考。有关使用命名 URL 模式的使用详情参考 the URL documentation 。
\n如果你想更好的控制 URL ，你可以在你的 URLconf 中引用特定的视图：
\nfrom django.contrib.auth import views as auth_views\n\nurlpatterns = [\n path('change-password/', auth_views.PasswordChangeView.as_view()),\n]\n这个视图具有更改视图行为的可选参数。例如，如果你想改变视图使用的模板名称，你可以提供 template_name 参数。在 URLconf 中提供关键字参数，这些参数将被传递给视图。举例：
urlpatterns = [\n path(\n 'change-password/',\n auth_views.PasswordChangeView.as_view(template_name='change-password.html'),\n ),\n]\n所有视图都是基于类的，这就允许你通过子类去方便地自定义它们。
\n这是一个 django.contrib.auth 提供的所有视图列表。有关实现细节可参考 使用视图 。
URL name: login
有关使用命名 URL 模式的细节可参考 the URL documentation 。
\n**方法和属性*
\nThe name of a template to display for the view used to log the user in.\nDefaults to registration/login.html.
The URL to redirect to after login. Defaults to\nLOGIN_REDIRECT_URL.
The name of a GET field containing the URL to redirect to after\nlogin. Defaults to next. Overrides the\nget_default_redirect_url() URL if the given GET parameter is\npassed.
A callable (typically a form class) to use for authentication. Defaults\nto AuthenticationForm.
A dictionary of context data that will be added to the default context\ndata passed to the template.
\nA boolean that controls whether or not authenticated users accessing\nthe login page will be redirected as if they had just successfully\nlogged in. Defaults to False.
A set of hosts, in addition to request.get_host(), that are safe for redirecting\nafter login. Defaults to an empty set.
Returns the URL to redirect to after login. The default implementation\nresolves and returns next_page if set, or\nLOGIN_REDIRECT_URL otherwise.
LoginView 能做什么：
如果通过 GET 调用，它将显示 POST 到同一 URL 地址的登录表单。稍后会详细介绍。
如果用户提交的数据通过 POST 调用，那它将试着让用户登录。如果登录成功，那么视图将重定向到 next 指定的 URL 。如果没有提供 next ，它将重定向到 settings.LOGIN_REDIRECT_URL （默认 /accounts/profile/ ）。如果登录没有成功，它将重新显示登录表单。
你需要提供登录模板，默认调用 registration/login.html 。这个模板传递四个模板上下文变量：
form ：一个代表 AuthenticationForm 的 Form 对象。
next ：登录成功后跳转的网址。这可能包含查询字段。
site ：根据 SITE_ID 设置的当前站点。如果你还没有安装站点框架，会将其设置为 RequestSite 实例，该实例从当前 HttpRequest 中派生出站点名和域名。
site_name ：site.name 的别名。如果你还没有按照站点框架，它将设置为 request.META['SERVER_NAME'] 的值。更多关于站点信息，请参考 “站点”框架 。
如果你不愿意调用模板 registration/login.html ，你可以通过附加参数的形式传递 template_name 参数给你的 URLconf 中的 as_view 方法。比如，这行 URLconf 将使用 myapp/login.html 代替：
path('accounts/login/', auth_views.LoginView.as_view(template_name='myapp/login.html')),\n你也可以使用 redirect_field_name 指定 GET 字段的名称，这个字段包含登陆后跳转的 URL 地址。默认情况下，这个字段为 next 。
下面是一个简单的 registration/login.html 模板。它假设你有 base.html 模板，并且已经定义了 content 块：
{% extends "base.html" %}\n\n{% block content %}\n\n{% if form.errors %}\n<p>Your username and password didn't match. Please try again.</p>\n{% endif %}\n\n{% if next %}\n {% if user.is_authenticated %}\n <p>Your account doesn't have access to this page. To proceed,\n please login with an account that has access.</p>\n {% else %}\n <p>Please login to see this page.</p>\n {% endif %}\n{% endif %}\n\n<form method="post" action="{% url 'login' %}">\n{% csrf_token %}\n<table>\n<tr>\n <td>{{ form.username.label_tag }}</td>\n <td>{{ form.username }}</td>\n</tr>\n<tr>\n <td>{{ form.password.label_tag }}</td>\n <td>{{ form.password }}</td>\n</tr>\n</table>\n\n<input type="submit" value="login">\n<input type="hidden" name="next" value="{{ next }}">\n</form>\n\n{# Assumes you set up the password_reset view in your URLconf #}\n<p><a href="{% url 'password_reset' %}">Lost password?</a></p>\n\n{% endblock %}\n如果你具有自定义身份验证（查看 Customizing Authentication ），可以通过设置 authentication_form 属性来使用自定义的验证码模板。此表单必须在它的 __init__() 方法中接受 request 关键字参数，并且提供一个返回已验证用户对象的 get_user() 方法（这个方法只会在表单成功验证后调用）。
注销用户
\nURL name: logout
属性：
\nThe URL to redirect to after logout. Defaults to\nLOGOUT_REDIRECT_URL.
The full name of a template to display after logging the user out.\nDefaults to registration/logged_out.html.
The name of a GET field containing the URL to redirect to after log\nout. Defaults to 'next'. Overrides the\nnext_page URL if the given GET parameter is\npassed.
A dictionary of context data that will be added to the default context\ndata passed to the template.
\nA set of hosts, in addition to request.get_host(), that are safe for redirecting\nafter logout. Defaults to an empty set.
Template context:
\ntitle ：字符串 "已注销"，已本地化。
site ：根据 SITE_ID 设置的当前站点。如果你还没有安装站点框架，会将其设置为 RequestSite 实例，该实例从当前 HttpRequest 中派生出站点名和域名。
site_name ：site.name 的别名。如果你还没有按照站点框架，它将设置为 request.META['SERVER_NAME'] 的值。更多关于站点信息，请参考 “站点”框架 。
用户注销，然后重定向到登录页面。
\nURL name: 没有提供默认的 URL
\n可选参数：
\nlogin_url ：要重定向到登录页面的 URL 。如果没有提供，默认是 settings.LOGIN_URL 。
URL name: password_change
允许用户修改密码。
\n属性：
\nThe full name of a template to use for displaying the password change\nform. Defaults to registration/password_change_form.html if not\nsupplied.
The URL to redirect to after a successful password change. Defaults to\n'password_change_done'.
A custom "change password" form which must accept a user keyword\nargument. The form is responsible for actually changing the user's\npassword. Defaults to\nPasswordChangeForm.
A dictionary of context data that will be added to the default context\ndata passed to the template.
\nTemplate context:
\nform ：密码修改表单（参考上面的 form_class ）
URL name: password_change_done
用户修改密码之后显示的页面。
\n属性：
\nThe full name of a template to use. Defaults to\nregistration/password_change_done.html if not supplied.
A dictionary of context data that will be added to the default context\ndata passed to the template.
\nURL name: password_reset
允许用户通过生成的一次性链接来重置密码，并把一次性链接发到用户注册邮箱中。
\nThis view will send an email if the following conditions are met:
\nThe email address provided exists in the system.
The requested user is active (User.is_active is True).
The requested user has a usable password. Users flagged with an unusable\npassword (see\nset_unusable_password()) aren't\nallowed to request a password reset to prevent misuse when using an\nexternal authentication source like LDAP.
If any of these conditions are not met, no email will be sent, but the\nuser won't receive any error message either. This prevents information\nleaking to potential attackers. If you want to provide an error message in\nthis case, you can subclass\nPasswordResetForm and use the\nform_class attribute.
属性：
\nThe full name of a template to use for displaying the password reset\nform. Defaults to registration/password_reset_form.html if not\nsupplied.
Form that will be used to get the email of the user to reset the\npassword for. Defaults to\nPasswordResetForm.
The full name of a template to use for generating the email with the\nreset password link. Defaults to\nregistration/password_reset_email.html if not supplied.
The full name of a template to use for the subject of the email with\nthe reset password link. Defaults to\nregistration/password_reset_subject.txt if not supplied.
Instance of the class to check the one time link. This will default to\ndefault_token_generator, it's an instance of\ndjango.contrib.auth.tokens.PasswordResetTokenGenerator.
The URL to redirect to after a successful password reset request.\nDefaults to 'password_reset_done'.
A valid email address. By default Django uses the\nDEFAULT_FROM_EMAIL.
A dictionary of context data that will be added to the default context\ndata passed to the template.
\nThe full name of a template to use for generating a\ntext/html multipart email with the password reset link. By\ndefault, HTML email is not sent.
\nA dictionary of context data that will be available in the email\ntemplate. It can be used to override default template context values\nlisted below e.g. domain.
Template context:
\nform ：重置用户密码的表单（可参考上面的 form_class ）。
电子邮件模板上下文:
\nemail ：user.email 的别名。
user ：根据电子邮件表单字段指定的当前用户。只有活动用户才可以重置密码（ User.is_active 为 True ）。
site_name ：site.name 的别名。如果你还没有按照站点框架，它将设置为 request.META['SERVER_NAME'] 的值。更多关于站点信息，请参考 “站点”框架 。
domain ：site.domain 的别名。如果你还没有安装网站框架，它会被设置为 request.get_host() 的值。
protocol ：http 或 https
uid ：使用 Base64 编码过的用户主键。
token ：检测重置密码链接是否有效的 Token 。
registration/password_reset_email.html 例子（电子邮件内容模板）
Someone asked for password reset for email {{ email }}. Follow the link below:\n{{ protocol}}://{{ domain }}{% url 'password_reset_confirm' uidb64=uid token=token %}\n相同的模板上下文用于主题模板。主题必须是单行纯文本字符串。
\nURL name: password_reset_done
发送重置密码邮件后显示的页面。如果 PasswordResetView 没有明确设置 success_url ，那么默认将该视图调用。
属性：
\nThe full name of a template to use. Defaults to\nregistration/password_reset_done.html if not supplied.
A dictionary of context data that will be added to the default context\ndata passed to the template.
\nURL name: password_reset_confirm
提供输入新密码的表单。
\nURL 的关键参数
\nuidb64 ：被Base64编码过的用户 id。
token ：检查密码是否有效的 Token。
属性：
\nThe full name of a template to display the confirm password view.\nDefault value is registration/password_reset_confirm.html.
Instance of the class to check the password. This will default to\ndefault_token_generator, it's an instance of\ndjango.contrib.auth.tokens.PasswordResetTokenGenerator.
A boolean indicating if the user should be automatically authenticated\nafter a successful password reset. Defaults to False.
A dotted path to the authentication backend to use when authenticating\na user if post_reset_login is True. Required only if you have\nmultiple AUTHENTICATION_BACKENDS configured. Defaults to\nNone.
Form that will be used to set the password. Defaults to\nSetPasswordForm.
URL to redirect after the password reset done. Defaults to\n'password_reset_complete'.
A dictionary of context data that will be added to the default context\ndata passed to the template.
\nToken parameter displayed as a component of password reset URLs.\nDefaults to 'set-password'.
Template context:
\nform ：用来设置用户新密码的表单（查看上面的 form_class ）。
validlink ：布尔值，如果链接（uidb64 和 token 的组合）有效且合法，则返回 True 。
URL name: password_reset_complete
当密码已经被修改成功后通知用户的视图。
\n属性：
\nThe full name of a template to display the view. Defaults to\nregistration/password_reset_complete.html.
A dictionary of context data that will be added to the default context\ndata passed to the template.
\n重定向到登录页面，登陆成功后跳转到其他 URL 。
\n必要参数
\nnext ：成功登陆后跳转的 URL。
可选参数：
\nlogin_url ：要重定向到登录页面的 URL 。如果没有提供，默认是 settings.LOGIN_URL 。
redirect_field_name ：注销后跳转的 URL 所包含的 GET 字段名称。如果已传递给定的 GET 参数，则覆盖 next 。
如果你不想使用内置视图，但希望不必为此功能编写表单，验证系统提供很多在 django.contrib.auth.forms 中的内置表单。
在管理界面修改用户密码所使用的表单。
\n将 user 作为第一个参数。
用户登录的表单。
\n将 request 作为第一个参数，该参数存储在表单实例上，供子类使用。
默认情况下，AuthenticationForm 拒绝 is_active 标识为 False 的用户。你可以通过自定义策略来覆盖这个行为来决定哪个用户可以登录。通过``AuthenticationForm`` 子类的自定义表单来执行这个操作，并覆盖 confirm_login_allowed() 方法。如果给定的用户无法登录，这个方法应该引发 ValidationError 错误。
举例，允许所有用户登录而不管 "active" 状态：
\nfrom django.contrib.auth.forms import AuthenticationForm\n\nclass AuthenticationFormWithInactiveUsersOkay(AuthenticationForm):\n def confirm_login_allowed(self, user):\n pass\n（在这个例子中，你将需要使用一个允许非活动用户的验证后端，比如 AllowAllUsersModelBackend 。）
或者只允许一些活动用户登录：
\nclass PickyAuthenticationForm(AuthenticationForm):\n def confirm_login_allowed(self, user):\n if not user.is_active:\n raise ValidationError(\n _("This account is inactive."),\n code='inactive',\n )\n if user.username.startswith('b'):\n raise ValidationError(\n _("Sorry, accounts starting with 'b' aren't welcome here."),\n code='no_b_users',\n )\n允许用户修改密码的表单:
\n生成和邮件发送一次性重置密码链接的表单。
\n使用参数发送 EmailMultiAlternatives。可以重写自定义邮件发送给用户的方式。
subject_template_name -- 主题模板
email_template_name -- 邮件主体模板
context -- 上下文传递至 subject_template, email_template, 和 html_email_template （如果它非空）。
from_email -- 发送方的邮箱地址。
to_email -- 接收方的邮箱地址。
html_email_template_name -- HTML 正文模板；默认是 None，在这种情况下发送纯文本邮件。
默认情况下，save() 使用 PasswordResetView 传递给其电子邮件上下文的相同变量填充上下文。
让用户不输入旧密码就能改变它们密码的表单。
\n在管理界面修改用户信息和权限的表单。
\n建立新用户的 ModelForm 。
它有三个字段： username （来自用户模型），password1 ，和 password2 。它检查 password1 和 password2 是否匹配，使用 validate_password() 验证密码，并且使用 set_password() 来设置用户密码。
当你使用 RequestContext 时，当前已登录用户和他们的权限在 :doc:`template context ` 中是可用的。
当渲染模板 RequestContext ，当前登录用户（User 实例或 AnonymousUser 实例）被保存在模板变量 {{ user }} 中：
{% if user.is_authenticated %}\n <p>Welcome, {{ user.username }}. Thanks for logging in.</p>\n{% else %}\n <p>Welcome, new user. Please log in.</p>\n{% endif %}\n如果没有使用 RequestContext ，那么这个模板上下文变量将不可用。
当前登录用户的权限保存在模板变量 {{ perms }} 中。这是 django.contrib.auth.context_processors.PermWrapper 的一个实例，它是一个对模板友好的权限代理。
将 {{ perms }} 的单属性查找作为布尔值为 User.has_module_perms() 的代理。比如，检测登录用户是否拥有一些权限：
{% if perms.foo %}\n将两层属性查找作为布尔值是 User.has_perm() 的代理。比如，检测登录用户是否拥有 foo.add_vote 权限：
{% if perms.foo.add_vote %}\n以下是一个在模板中检查权限的更完整的示例：
\n{% if perms.foo %}\n <p>You have permission to do something in the foo app.</p>\n {% if perms.foo.add_vote %}\n <p>You can vote!</p>\n {% endif %}\n {% if perms.foo.add_driving %}\n <p>You can drive!</p>\n {% endif %}\n{% else %}\n <p>You don't have permission to do anything in the foo app.</p>\n{% endif %}\n也可以通过 {% if in %} 语句来查找权限。比如：
{% if 'foo' in perms %}\n {% if 'foo.add_vote' in perms %}\n <p>In lookup works, too.</p>\n {% endif %}\n{% endif %}\n当安装了 django.contrib.admin 和 django.contrib.auth，管理后台提供了方便的方法来查看和管理用户、组和权限。用户可以增加和删除任何 Django 模型。可以创建组，也可以为用户和组分配权限。用户操作模型的日志也会在管理后台中保存和显示。
你可以在管理后台主页的 “认证和权限” 部分看到 “用户” 链接。“增加用户”的管理界面和其他标准的管理后台不同的是：你需要先输入一个新用户名和新密码，然后才能编辑新用户的剩余字段。
\n注意：如果你希望某个用户账号可以在 Django 管理后台创建用户，你将需要给用户“创建”和“修改”权限。如果账号只有“创建”权限但没有“修改”权限，那么这个账号将不能增加用户。为什么？因为你有权限添加用户，那么你就拥有添加超级管理员的权利，而超级管理员就可以修改其他用户。因此，Django 需要添加和修改权限作为安全措施。
\n要考虑如何允许用户去管理权限。如果你允许普通管理员编辑用户，这和给他们超级管理员权限一样。因为他们有权利提升用户权限，包括他们自己。
\n用户密码不显示在管理界面中（也不在数据库中保存），但会显示 password storage details 。这个信息中包含一个指向密码修改表单的链接，该表单允许管理员修改用户密码。
\n