Django 的登录登出功能

CSRF跨域请求保护

A站为正常网站，B站为病毒网站，当我先访问A站，本地浏览器会记录cookies在本地，之后访问B站，B站会窃取我的cookies，然后通过我的cookies就可以冒名访问A站中我的账户。这就是CSRF跨站请求伪造攻击。

在Django的form表单提交时，如果是POST方法提交，会引发CSRF跨域请求保护，解决方法为：在form表单中添加{% csrf_token %},打开网站就会在页面生成token(令牌)来进行认证，当别人登录会，页面会生成完全不一样的token，登录时抓包会发现提交的form表单中会有csrfmiddlewaretoken这么一项。

HTML 的登录表单

<!-- html中的登录表单-->
<form class="form-signin" role="form" method="post" action="{% url 'login' %}">
    {% csrf_token %}
    <h2 class="form-signin-heading">Please sign in</h2>
    <input name="username" type="email" class="form-control" placeholder="Email address" required="" autofocus="">
    <input name="password" type="password" class="form-control" placeholder="Password" required="">
    
    <button class="btn btn-lg btn-primary btn-block" type="submit">Sign in</button>
    <span style="color: red" >{{ login_err }}</span>
</form>

登录功能的实现

当点击登录时，会将表单提交到urls.py中的别名为login的url来处理，如：

...
urlpatterns = [
    ...
    url(r'^login/', views.login_site, name='login'),
    url(r'^logout/', views.logout_site, name='logout'),
]

处理逻辑为：如果方式为Post，获取到提交的username和password，然后通过django的authenticate方法来验证。

# 导入的login 和 logout 用来实现保持session
from django.contrib.auth import authenticate, login, logout

def login_site(request):
    if request.method == 'POST':
        username = request.POST.get('username')
        password = request.POST.get('password')
        user = authenticate(username=username, password=password)   # 使用 Django 的 authenticate 方法来验证
        if user:
            login(request, user)    # <==
            return HttpResponseRedirect('/')
        else:
            return render(request, 'login.html', {
                'login_err': 'Please recheck your username or password !'
            })
    return render(request, 'login.html')

登出功能

def logout_site(request):
    logout(request)     # <==
    return HttpResponseRedirect('/')

HTML 页面验证是否登录

页面中需要根据是否登录来显示登录状态，登录显示登录的用户名，未登录显示login

...
<ul class="nav navbar-nav navbar-right">
    <!-- 验证是否已经登录-->
    <!-- 如果没有登录，则展示登录链接-->
    {% if not request.user.is_authenticated %}
    <li>
        <a href="{% url 'login' %}">Login</a>
    </li>
    {% else %}  
    <!-- 如果已经登录，则展示用户名和下拉菜单-->
    <li class="dropdown">
        <a href="#" class="dropdown-toggle" data-toggle="dropdown" aria-expanded="false">{{ request.user.name }}<span class="caret"></span></a>
        <ul class="dropdown-menu" role="menu">
            <li><a href="#">个人信息</a></li>
            <li class="divider"></li>
            <li><a href="{% url 'logout' %}">Logout</a></li>
        </ul>
    </li>
    {% endif %}
</ul>
...

强制登录

网站很多页面我们需要用户登录才能展示，或者说打开网站时，必须先登录。可以进行如下两步设置：

第一步：在settings.py文件中写明当用户未登录就访问网站时的跳转路径。

# settings.py 文件中
LOGIN_URL = '/login/'

第二步：在需要登录才能打开的页面中使用login_required装饰器

from django.contrib.auth.decorators import login_required

@login_required
def dashboard(request):
    return render(request, 'dashboard.html')
...
...