Il modello User e authenticate()

Django include già un modello User completo, quindi non deve mai creare manualmente le tabelle degli account. Memorizza nomi utente, password con hash e altro ancora. 👤

Il modello si trova in django.contrib.auth, un'app abilitata nei progetti appena creati. Lo importi e avrà a disposizione l'intero toolkit di autenticazione.

Ogni utente ha uno username, oltre a email, first_name e last_name. Sono i campi di uso quotidiano che legge e mostra nella sua app.

Django memorizza un hash con salt di ogni password, mai il testo originale. Nemmeno lei, in qualità di sviluppatore, può leggere la password effettiva di un utente. 🔒

Usi create_user per fare in modo che la password venga sottoposta a hash automaticamente. Impostarla manualmente la memorizzerebbe in chiaro.

La funzione authenticate() verifica per lei username e password rispetto al database. È il cuore di ogni flusso di accesso.

Le passi le credenziali e, se sono corrette, restituisce l'oggetto user corrispondente. Non deve scrivere manualmente né l'hashing né le query.

Se username o password sono errati, authenticate() restituisce None. Verifichi sempre questo valore prima di considerare l'utente autenticato.

Il flag is_active permette di disabilitare gli account. Per impostazione predefinita authenticate() rifiuta di restituire utenti inattivi, impedendo gli accessi degli utenti bloccati.

Contano due flag aggiuntivi: is_staff concede l'accesso al sito di amministrazione, mentre is_superuser concede tutti i permessi. La maggior parte degli utenti non ha nessuno dei due.

Ricordi: authenticate() verifica soltanto l'identità. Non avvia una sessione, quindi dopo questa chiamata l'utente non ha ancora effettuato l'accesso.

Ha conosciuto il modello User integrato di Django e ha usato authenticate() per verificare le credenziali. Le password rimangono sottoposte a hash e un controllo fallito restituisce None. ✅