Django 安全性：密碼雜湊、重置與使用者授權

在當今網路環境中，保障使用者資訊安全至關重要。本文深入探討 Django 框架的安全性機制，從密碼雜湊演算法、自訂雜湊器到密碼重置流程，並涵蓋使用者授權與許可權控管等導向，提供開發者實務參考。首先，我們會比較 PBKDF2 和 Argon2 兩種雜湊演算法的特性與應用場景，並示範如何在 Django 中設定及使用。接著，我們將引導讀者建立自訂的密碼雜湊器，以滿足特定安全需求。此外，本文也將詳細說明密碼重置機制的運作流程，並提供程式碼範例，同時強調如何提升密碼重置流程的安全性。最後，我們將探討 Django 的使用者授權機制，包括使用者、群組和許可權的管理，以及如何透過許可權系統有效控管使用者對系統資源的存取。

PBKDF2 的優點

PBKDF2 有以下優點：

安全: PBKDF2 可以提供強大的密碼保護，防止密碼被輕易破解。
靈活: PBKDF2 支援多種密碼雜湊函式和迭代次數，可以根據不同的需求進行調整。
廣泛支援: PBKDF2 是一個廣泛支援的標準，許多程式語言和框架都提供了 PBKDF2 的實作。

實踐中的 PBKDF2

在實踐中，PBKDF2 可以用於儲存使用者密碼。以下是一個簡單的例子：

import hashlib
import binascii

def pbkdf2(password, salt, iterations):
    # 使用 SHA-256 作為密碼雜湊函式
    hash_func = hashlib.sha256
    # 對密碼和隨機數進行雜湊
    hashed_password = hash_func((password + salt).encode()).digest()
    # 迭代多次
    for _ in range(iterations - 1):
        hashed_password = hash_func((hashed_password + salt).encode()).digest()
    # 傳回最終的雜湊值
    return binascii.hexlify(hashed_password)

# 測試 PBKDF2
password = "mysecretpassword"
salt = "randomsalt"
iterations = 6000000
result = pbkdf2(password, salt, iterations)
print(result)

這個例子展示瞭如何使用 PBKDF2 來儲存使用者密碼。透過調整迭代次數，可以控制密碼的安全性。

Argon2：新一代密碼雜湊函式

在網站安全中，密碼雜湊函式扮演著至關重要的角色。當使用者註冊或登入網站時，網站需要將使用者的密碼轉換為一個安全的雜湊值，以便儲存和驗證。然而，隨著計算能力的增強和攻擊者的技巧日漸提高，傳統的密碼雜湊函式已經不能滿足現代網站的安全需求。

為了應對這個挑戰，密碼學家和安全專家共同開發了一種新的密碼雜湊函式，稱為 Argon2。Argon2 是一個高安全性、抗暴力破解的密碼雜湊函式，設計用於保護使用者密碼免受攻擊者的破解。

Argon2 的優點

Argon2 有以下幾個優點：

高安全性：Argon2 使用了先進的密碼學技術，包括 BLAKE2 雜湊函式和 PBKDF2 演算法，確保了高安全性和抗破解能力。
抗暴力破解：Argon2 設計用於抵禦暴力破解攻擊，透過增加計算成本和記憶體需求，使得攻擊者難以使用 GPU 或其他平行計算裝置進行破解。
靈活性：Argon2 可以根據不同的安全需求進行調整，包括計算成本、記憶體需求和平行度等引數。
相容性：Argon2 可以與現有的密碼雜湊函式相容，方便現有系統的升級和遷移。

Django 中的 Argon2

在 Django 中，可以使用 Argon2 作為密碼雜湊函式。要啟用 Argon2，需要在 settings.py 中設定 PASSWORD_HASHERS 引數，如下所示：

PASSWORD_HASHERS = [
    'django.contrib.auth.hashers.Argon2PasswordHasher',
    'django.contrib.auth.hashers.PBKDF2PasswordHasher',
    'django.contrib.auth.hashers.PBKDF2SHA1PasswordHasher',
    'django.contrib.auth.hashers.BCryptPasswordHasher',
]

然後，需要執行遷移命令，以更新資料函式庫中的密碼雜湊值：

python manage.py migrate

Django 中的密碼雜湊

Django 提供了多種密碼雜湊演算法，包括 PBKDF2、Argon2 等。這些演算法可以用來保護使用者的密碼安全。

PBKDF2

PBKDF2 是 Django 中的一種密碼雜湊演算法，它使用 PBKDF2 演算法來雜湊密碼。這種演算法需要一個 salt 值和一個迭代次數來進行雜湊。

from django.contrib.auth.hashers import PBKDF2PasswordHasher

class TwoFoldPBKDF2PasswordHasher(PBKDF2PasswordHasher):
    iterations = PBKDF2PasswordHasher.iterations * 2

Argon2

Argon2 是另一種密碼雜湊演算法，它比 PBKDF2 更安全。Argon2 需要一個 salt 值和一個迭代次數來進行雜湊。

from django.contrib.auth.hashers import Argon2PasswordHasher

PASSWORD_HASHERS = [
    'path.to.Argon2PasswordHasher',
]

自定義密碼雜湊演算法

如果需要自定義密碼雜湊演算法，可以繼承 Django 中的 BasePasswordHasher 類別，並實作 encode 和 verify 方法。

from django.contrib.auth.hashers import BasePasswordHasher

class UnsaltedMD5ToArgon2PasswordHasher(BasePasswordHasher):
    algorithm = '%s->%s' % (UnsaltedMD5PasswordHasher.algorithm, Argon2PasswordHasher.algorithm)

    def encode(self, password, salt):
        # 實作 encode 方法
        pass

    def verify(self, password, encoded):
        # 實作 verify 方法
        pass

更改密碼雜湊演算法

如果需要更改密碼雜湊演算法，可以在 settings.py 中設定 PASSWORD_HASHERS 選項。

PASSWORD_HASHERS = [
    'path.to.NewPasswordHasher',
]

注意：更改密碼雜湊演算法可能會導致使用者無法登入，需要小心處理。

密碼雜湊與驗證

在 Django 中，密碼雜湊和驗證是一個重要的安全機制。下面是一個自訂的密碼雜湊器，使用 MD5 和 Argon2 雜湊演算法。

自訂密碼雜湊器

import hashlib

class UnsaltedMD5ToArgon2PasswordHasher:
    def encode(self, password, salt):
        md5_hash = self.get_md5_hash(password)
        return self.encode_md5_hash(md5_hash, salt)

    def verify(self, password, encoded):
        md5_hash = self.get_md5_hash(password)
        return super().verify(md5_hash, encoded)

    def encode_md5_hash(self, md5_hash, salt):
        return super().encode(md5_hash, salt)

    def get_md5_hash(self, password):
        hasher = UnsaltedMD5PasswordHasher()
        return hasher.encode(password, hasher.salt())

PASSWORD_HASHERS 設定

要使用自訂的密碼雜湊器，需要在 PASSWORD_HASHERS 設定中新增自訂雜湊器的路徑。

PASSWORD_HASHERS = [
    'django_app.hashers.UnsaltedMD5ToArgon2PasswordHasher',
]

更新密碼雜湊值

使用 Django 的遷移機制，可以更新現有的密碼雜湊值。以下是更新密碼雜湊值的遷移程式碼。

from django.db import migrations
from django.db.models.functions import Length
from django_app.hashers import UnsaltedMD5ToArgon2PasswordHasher

def forwards_func(apps, schema_editor):
    User = apps.get_model('auth', 'User')
    for user in User.objects.filter(password__startswith='md5$'):
        md5_hash = user.password.split('$')[1]
        argon2_hash = UnsaltedMD5ToArgon2PasswordHasher().encode_md5_hash(md5_hash, '')
        user.password = argon2_hash
        user.save()

這個遷移程式碼會更新所有使用 MD5 雜湊演算法的密碼雜湊值為 Argon2 雜湊演算法。

內容解密：

自訂密碼雜湊器：UnsaltedMD5ToArgon2PasswordHasher 類別負責將 MD5 雜湊值更新為 Argon2 雜湊值。
encode 方法：該方法接收密碼和 salt 值，計算 MD5 雜湊值，然後使用 Argon2 雜湊演算法更新密碼雜湊值。
verify 方法：該方法接收密碼和編碼後的密碼雜湊值，計算 MD5 雜湊值，然後使用 Argon2 雜湊演算法驗證密碼。
encode_md5_hash 方法：該方法接收 MD5 雜湊值和 salt 值，使用 Argon2 雜湊演算法更新密碼雜湊值。
get_md5_hash 方法：該方法接收密碼，計算 MD5 雜湊值。
PASSWORD_HASHERS 設定：在 PASSWORD_HASHERS 設定中新增自訂雜湊器的路徑。
更新密碼雜湊值：使用 Django 的遷移機制更新現有的密碼雜湊值。

圖表翻譯：

  flowchart TD
    A[開始] --> B[計算 MD5 雜湊值]
    B --> C[更新密碼雜湊值為 Argon2]
    C --> D[儲存更新後的密碼雜湊值]

圖表說明：

開始：開始更新密碼雜湊值的流程。
計算 MD5 雜湊值：計算 MD5 雜湊值。
更新密碼雜湊值為 Argon2：使用 Argon2 雜湊演算法更新密碼雜湊值。
儲存更新後的密碼雜湊值：儲存更新後的密碼雜湊值。

密碼重置機制實作

在 Django 中，密碼重置機制可以透過內建的 PasswordResetView 等檢視來實作。這些檢視負責處理密碼重置的各個步驟，包括傳送密碼重置郵件、處理密碼重置請求等。

密碼重置流程

密碼重置請求：使用者傳送密碼重置請求，通常是透過網站的密碼重置表單。
傳送密碼重置郵件：系統傳送一封包含密碼重置連結的郵件到使用者的註冊信箱。
密碼重置確認：使用者點選郵件中的連結，進入密碼重置頁面。
密碼重置完成：使用者輸入新的密碼，系統更新使用者的密碼。

實作密碼重置機制

要實作密碼重置機制，需要在 urls.py 中定義相關的路由，並在 views.py 中定義相關的檢視。

# urls.py
from django.urls import path
from django.contrib.auth import views as auth_views

urlpatterns = [
    path('password_reset/', auth_views.PasswordResetView.as_view(), name='password_reset'),
    path('password_reset/done/', auth_views.PasswordResetDoneView.as_view(), name='password_reset_done'),
    path('reset/<uidb64>/<token>/', auth_views.PasswordResetConfirmView.as_view(), name='password_reset_confirm'),
    path('reset/done/', auth_views.PasswordResetCompleteView.as_view(), name='password_reset_complete'),
]

# views.py
from django.contrib.auth import views as auth_views
from django.contrib.auth.forms import PasswordResetForm
from django.contrib.auth.tokens import default_token_generator
from django.contrib.sites.shortcuts import get_current_site
from django.core.mail import EmailMessage
from django.template.loader import render_to_string
from django.utils.encoding import force_bytes
from django.utils.http import urlsafe_base64_encode

class PasswordResetView(auth_views.PasswordResetView):
    form_class = PasswordResetForm
    template_name = 'password_reset.html'
    email_template_name = 'password_reset_email.html'
    subject_template_name = 'password_reset_subject.txt'

    def form_valid(self, form):
        # 傳送密碼重置郵件
        user = form.save()
        current_site = get_current_site(self.request)
        mail_subject = render_to_string(self.subject_template_name, {
            'user': user,
            'domain': current_site.domain,
            'uid': urlsafe_base64_encode(force_bytes(user.pk)),
            'token': default_token_generator.make_token(user),
        })
        message = render_to_string(self.email_template_name, {
            'user': user,
            'domain': current_site.domain,
            'uid': urlsafe_base64_encode(force_bytes(user.pk)),
            'token': default_token_generator.make_token(user),
        })
        email = EmailMessage(mail_subject, message, to=[user.email])
        email.send()
        return super().form_valid(form)

密碼重置郵件範本

需要建立 password_reset_email.html 和 password_reset_subject.txt 範本來定義密碼重置郵件的內容和主題。

<!-- password_reset_email.html -->
<p>親愛的 {{ user.username }},</p>
<p>您可以透過以下連結重置您的密碼：</p>
<p><a href="http://{{ domain }}{% url 'password_reset_confirm' uidb64=uid token=token %}">重置密碼</a></p>
<p>謝謝您使用我們的服務。</p>

<!-- password_reset_subject.txt -->
密碼重置通知

密碼重設流程

密碼重設流程是網站使用者管理中的一個重要功能，允許使用者在忘記密碼的情況下重設密碼。以下是密碼重設流程的步驟：

使用者請求重設密碼：使用者在網站上填寫密碼重設表單，輸入自己的電子郵件地址。
傳送密碼重設郵件：系統傳送一封包含密碼重設連結的郵件到使用者的電子郵件地址。
使用者點選連結：使用者點選郵件中的連結，進入密碼重設頁面。
輸入新密碼：使用者在密碼重設頁面輸入新的密碼。
提交表單：使用者提交密碼重設表單，系統更新使用者的密碼。

密碼重設安全性

為了確保密碼重設流程的安全性，系統需要實施以下安全措施：

使用安全的密碼雜湊演算法：系統需要使用安全的密碼雜湊演算法，例如 Argon2，來儲存使用者的密碼。
使用隨機的密碼重設令牌：系統需要生成隨機的密碼重設令牌，並將其儲存在使用者的資料函式庫記錄中。
設定密碼重設令牌的有效期：系統需要設定密碼重設令牌的有效期，例如 3 天，以防止攻擊者使用過期的令牌。
使用 HTTPS 加密：系統需要使用 HTTPS 加密來保護密碼重設流程中的資料傳輸。

Django 密碼重設實作

Django 提供了一個內建的密碼重設功能，可以透過以下步驟實作：

建立密碼重設檢視：建立一個檢視來處理密碼重設請求。
傳送密碼重設郵件：使用 Django 的郵件傳送功能傳送密碼重設郵件。
建立密碼重設表單：建立一個表單來讓使用者輸入新的密碼。
更新使用者密碼：更新使用者的密碼，並將其儲存在資料函式庫中。

Django 應用程式開發：建置 Messaging 應用程式

建立 Messaging 應用程式

首先，使用 Django 的 startapp 指令建立一個新的應用程式，名為 messaging：

$ python manage.py startapp messaging

這將會建立一個新的目錄結構，包含了基本的 Django 應用程式檔案。

註冊應用程式

接下來，需要將 messaging 應用程式註冊到 Django 專案中。開啟 settings.py 檔案，找到 INSTALLED_APPS 列表，並新增 messaging 到列表中：

INSTALLED_APPS = [
    #...
    'messaging',
]

定義模型

現在，開啟 models.py 檔案，定義一個新的模型類別 AuthenticatedMessage：

from django.db import models

class AuthenticatedMessage(models.Model):
    message = models.CharField(max_length=100)
    hash_value = models.CharField(max_length=64)

這個模型類別代表了一個具有兩個屬性 (message 和 hash_value) 的訊息。

建立遷移檔

使用 Django 的 makemigrations 指令建立一個新的遷移檔：

$ python manage.py makemigrations messaging

這將會建立一個新的遷移檔，名為 0001_initial.py，位於 migrations 目錄中。

執行遷移

執行遷移檔，將模型類別同步到資料函式庫中：

$ python manage.py migrate

這將會建立一個新的資料表，對應於 AuthenticatedMessage 模型類別。

許可權

Django 的許可權系統允許您控制使用者對模型類別的存取。每個模型類別都有一些預設的許可權，例如 add、change、delete 和 view。您可以使用 Django 的 Permission 類別來檢視這些許可權：

$ python manage.py shell
>>> from django.contrib.auth.models import Permission
>>> permissions = Permission.objects.filter(content_type__app_label='messaging', content_type__model='authenticatedmessage')
>>> permissions
['add_authenticatedmessage', 'change_authenticatedmessage', 'delete_authenticatedmessage', 'view_authenticatedmessage']

您也可以自定義許可權，方法是新增一個 Meta 類別到您的模型類別中。例如：

class AuthenticatedMessage(models.Model):
    #...
    class Meta:
        permissions = [
            ('can_view_message', 'Can view message'),
        ]

這將會建立一個新的許可權，名為 can_view_message。

10.1.2 使用者管理及群組

在這個章節中，我們將建立一個超級使用者的帳戶給 Alice。超級使用者是一個特殊的使用者，具有管理員許可權，可以進行所有操作。登入後，你將可以存取 Django 內建的管理主控臺。管理主控臺是 Django 專案的一部分，提供了一個方便的介面來管理使用者、群組和許可權。

首先，讓我們安裝 WhiteNoise 來提供靜態內容。WhiteNoise 是一個輕量級的中介軟體，能夠有效地提供靜態內容。執行以下命令來安裝 WhiteNoise：

$ pipenv install whitenoise

然後，讓我們在 Django 設定中啟用 WhiteNoise。開啟 settings.py 檔案，找到 MIDDLEWARE 引數，新增 WhiteNoiseMiddleware 到列表中：

MIDDLEWARE = [
    'django.middleware.security.SecurityMiddleware',
    'whitenoise.middleware.WhiteNoiseMiddleware',
    #...
]

請注意，SecurityMiddleware 應該是第一個中介軟體，因為它提供了安全功能，如 HTTPS 重定向和安全標頭。

重啟伺服器後，開啟瀏覽器並輸入管理主控臺的 URL。你應該可以看到登入頁面，如下圖所示：

如果你的瀏覽器顯示的是沒有樣式的登入頁面，可能是因為 WhiteNoise 沒有被正確安裝或設定。

現在，讓我們建立一個超級使用者的帳戶給 Alice。執行以下命令：

$ python manage.py createsuperuser

按照提示輸入使用者名稱、電子郵件地址和密碼。

登入管理主控臺後，你可以看到所有使用者和群組的列表。讓我們建立一個新的群組，名為 “observers”，並將 Bob 加入到這個群組中。同時，讓我們也將所有與訊息相關的許可權授予這個群組。

首先，建立一個新的群組：

# 建立一個新的群組
group, created = Group.objects.get_or_create(name='observers')

然後，將 Bob 加入到這個群組中，並授予所有與訊息相關的許可權：

# 將 Bob 加入到群組中
user = User.objects.get(username='bob')
group.user_set.add(user)

# 授予所有與訊息相關的許可權
permissions = Permission.objects.filter(codename__startswith='message')
group.permissions.add(*permissions)

現在，Bob 已經加入到 “observers” 群組中，並具有所有與訊息相關的許可權。

程式碼解說

使用者管理

Django 提供了一個 User 模型來管理使用者。使用者可以具有不同的許可權和群組成員資格。

from django.contrib.auth.models import User

# 建立一個新的使用者
user = User.objects.create_user('alice', email='alice@example.com', password='password')

# 將使用者加入到群組中
group = Group.objects.get(name='observers')
user.groups.add(group)

群組管理

Django 提供了一個 Group 模型來管理群組。群組可以具有不同的許可權和成員。

from django.contrib.auth.models import Group

# 建立一個新的群組
group = Group.objects.create(name='observers')

# 將許可權授予群組
permission = Permission.objects.get(codename='can_view_message')
group.permissions.add(permission)

許可權管理

Django 提供了一個 Permission 模型來管理許可權。許可權可以被授予給使用者或群組。

from django.contrib.auth.models import Permission

# 建立一個新的許可權
permission = Permission.objects.create(codename='can_view_message', name='Can view message')

# 將許可權授予使用者
user = User.objects.get(username='bob')
user.user_permissions.add(permission)

Django 中的使用者授權

在 Django 中，使用者授權是一個重要的安全機制，能夠控制使用者對系統的存取和操作。以下是 Django 中使用者授權的相關內容。

從系統安全形度審視密碼儲存及驗證機制，本文深入探討了 PBKDF2 和 Argon2 等雜湊演算法的應用，並解析了 Django 框架中密碼雜湊、驗證及重設流程的實作細節。分析比較 PBKDF2 與 Argon2 的特性，可以發現 Argon2 在安全性、抗暴力破解和靈活性方面更具優勢，更能應對現代網路安全威脅。然而，考量系統相容性與升級成本，採取漸進式遷移策略，逐步將舊有 MD5 雜湊值升級至 Argon2，將是更務實的選擇。技術團隊應關注 Argon2 引數的調校，在安全性和效能之間取得最佳平衡。展望未來，隨著硬體效能提升和攻擊手段的演變，持續研究和採用更先進的密碼雜湊演算法，例如 scrypt 或 bcrypt，將是保障系統安全的關鍵。對於注重安全性的網站，建議優先採用 Argon2 並定期更新迭代次數，以維持密碼的安全性。

玄貓

技術愛好者，專注於分享程式開發、雲端技術與 AI 應用的心得體會。