Django 會話管理與使用者驗證機制詳解

– 13 分鐘閱讀

Django 提供多種會話管理機制，例如根據檔案、資料函式庫和快取等方式，各有其效能和安全性的考量。根據檔案的機制簡單易用，但效能較差；根據資料函式庫的機制效能較佳，但需要額外的資料函式庫設定；根據快取的機制速度最快，但可能因快取空間不足或伺服器重啟而遺失資料。選擇合適的機製取決於應用程式的規模和需求。使用者驗證方面，Django 提供內建功能和檢視，方便開發者快速建立安全可靠的驗證流程，包含註冊、登入、登出、密碼變更等。開發者也可以根據需求自定義檢視，例如修改範本或新增功能。瞭解 Django 的會話管理和使用者驗證機制，有助於開發者打造更安全、高效的 Web 應用程式。

會話管理機制

會話管理是網路應用程式中的一個重要方面，負責儲存和管理使用者會話的資料。會話管理機制可以根據不同的需求和應用場景進行選擇。

7.3.2 根據快取的機制

根據快取的機制是指使用快取系統（如 Memcached 或 Redis）來儲存會話資料。這種機制的優點是可以提供快速的讀寫速度，適合於需要頻繁存取會話資料的應用程式。然而，根據快取的機制也有一些缺點，例如當快取空間不足時，新的資料可能會覆寫舊有的資料，或者當伺服器重啟時，所有的會話資料可能會丟失。

Django 中的根據快取的機制

在 Django 中，可以使用 CACHES 設定來選擇根據快取的機制。例如，可以使用 Memcached 或 Redis 作為快取系統。以下是使用 Memcached 的範例：

CACHES = {
    'default': {
        'LOCATION': '127.0.0.1:11211',
    }
}

根據快取的機制的優缺點

優點：

  • 快速的讀寫速度
  • 適合於需要頻繁存取會話資料的應用程式

缺點：

  • 當快取空間不足時，新的資料可能會覆寫舊有的資料
  • 當伺服器重啟時，所有的會話資料可能會丟失

7.3.3 根據資料函式庫的機制

根據資料函式庫的機制是指使用資料函式庫來儲存會話資料。這種機制的優點是可以提供永續性的儲存，適合於需要長期儲存會話資料的應用程式。然而，根據資料函式庫的機制也有一些缺點，例如讀寫速度可能較慢，需要額外的資料函式庫組態和維護。

Django 中的根據資料函式庫的機制

在 Django 中，可以使用 CACHES 設定來選擇根據資料函式庫的機制。例如，可以使用 DatabaseCache 來將會話資料儲存到資料函式庫中。以下是使用 DatabaseCache 的範例：

CACHES = {
    'default': {
        'LOCATION': 'database_table_name',
    }
}

根據資料函式庫的機制的優缺點

優點：

  • 提供永續性的儲存
  • 適合於需要長期儲存會話資料的應用程式

缺點：

  • 讀寫速度可能較慢
  • 需要額外的資料函式庫組態和維護

7.3.4 其他機制

除了根據快取和資料函式庫的機制外，還有其他幾種會話管理機制，包括：

  • LocMemCache：將會話資料儲存在記憶體中，這種機制快速但不適合於大型應用程式。
  • DummyCache：不儲存任何會話資料，這種機制適合於測試和開發階段。
  • FileBasedCache：將會話資料儲存在檔案系統中，這種機制不安全且效率低下。

Django 中的其他機制

在 Django 中，可以使用 CACHES 設定來選擇其他會話管理機制。以下是使用 LocMemCache 和 DummyCache 的範例：

CACHES = {
    'default': {
        # 使用 LocMemCache
    },
    'dummy': {
        # 使用 DummyCache
    }
}

其他機制的優缺點

優點：

  • LocMemCache：快速
  • DummyCache：適合於測試和開發階段

缺點：

  • LocMemCache：不適合於大型應用程式
  • DummyCache：不儲存任何會話資料
  • FileBasedCache：不安全且效率低下

Django 的會話管理機制

Django 提供了多種會話管理機制，包括根據檔案、根據資料函式庫、根據快取和根據 Cookie 的機制。每種機制都有其優缺點，下面將逐一介紹。

7.3.1 根據檔案的會話管理機制

根據檔案的會話管理機制是最簡單的機制，它將會話資料儲存在檔案中。這種機制的優點是簡單易行，但缺點是效率低下，特別是在大型應用中。

7.3.2 根據資料函式庫的會話管理機制

根據資料函式庫的會話管理機制是將會話資料儲存在資料函式庫中。這種機制的優點是效率高、可擴充套件性好，但缺點是需要額外的資料函式庫組態和維護。

7.3.3 根據快取和資料函式庫的會話管理機制

根據快取和資料函式庫的會話管理機制是將會話資料儲存在快取和資料函式庫中。這種機制的優點是效率高、可擴充套件性好，且能夠保證會話資料的安全性。

根據 Cookie 的會話管理機制是將會話資料儲存在 Cookie 中。這種機制的優點是簡單易行、不需要額外的組態，但缺點是 Cookie 尺寸有限，且可能被使用者篡改。

根據 Cookie 的會話管理機制存在一些安全性問題，包括：

  • Cookie 範圍限制：Cookie 尺寸有限，可能導致會話資料過大而無法儲存。
  • 使用者可讀取會話資料：使用者可以直接讀取 Cookie 中的會話資料，可能導致敏感資訊洩露。
  • 重放攻擊（Replay Attack）：攻擊者可以重放已經傳送過的 Cookie，可能導致伺服器誤認為是合法請求。
  • 遠端程式碼執行攻擊（Remote Code Execution Attack）：如果使用 PickleSerializer 序列化會話資料，攻擊者可能可以執行任意程式碼。

第7章：HTTP會話攻擊

7.1 攻擊過程

攻擊者Mallory想要對一個使用Django框架的網站進行遠端程式碼執行攻擊。首先，她撰寫了一段Python程式碼，當執行時，這段程式碼會導致伺服器關閉。為了將這段程式碼傳送給伺服器，她使用Django的PickleSerializer來序列化這段程式碼。

然後，她計算了序列化後的程式碼的HMAC（Keyed-Hashing for Message Authentication）雜湊值，使用了伺服器的SECRET_KEY。這樣，她就得到了與伺服器驗證機制相符的雜湊值。

接下來，Mallory將序列化的程式碼和它的HMAC雜湊值組合起來，形成了一個看起來合法的Cookie。當這個Cookie被送回伺服器時，伺服器會驗證HMAC雜湊值，並確認它與自己計算出的雜湊值相匹配。由於Mallory知道SECRET_KEY，所以她能夠生成一個正確的HMAC雜湊值。

伺服器在驗證Cookie後，會使用PickleSerializer反序列化Cookie中的內容，從而執行Mallory設計的惡意程式碼。這樣，Mallory就成功地對伺服器進行了遠端程式碼執行攻擊。

7.2 攻擊實作

以下是Mallory如何在Django的互動式控制檯中實作這次攻擊的詳細步驟：

  1. 撰寫惡意程式碼：Mallory定義了一個類別MaliciousCode，它包含一個特殊的方法__reduce__。這個方法在反序列化過程中會被呼叫，傳回一個函式呼叫（在這裡是sys.exit），使得伺服器在反序列化Cookie時執行這個函式。

  2. 序列化和雜湊：Mallory使用Django的signing模組和PickleSerializer來序列化她的惡意程式碼，並計算它的HMAC雜湊值。這裡，她使用了和伺服器相同的SECRET_KEY來確保雜湊值正確。

  3. 建構Cookie：然後，她建構了一個看起來合法的Cookie，包含了序列化的惡意程式碼和它的HMAC雜湊值。

  4. 傳送請求：最後，Mallory傳送一個包含這個Cookie的HTTP請求給目標伺服器。當伺服器收到並驗證這個Cookie後，它會反序列化Cookie中的內容，並執行Mallory設計的惡意程式碼，從而導致伺服器關閉。

使用 Django 進行使用者身份驗證

在本章中，我們將學習如何使用 Django 進行使用者身份驗證。首先，我們需要了解什麼是身份驗證和授權。

身份驗證（Authentication）是指系統確認使用者身份的過程，而授權（Authorization）是指系統授予使用者特定許可權的過程。

註冊和啟用使用者帳戶

要進行使用者身份驗證，首先需要註冊和啟用使用者帳戶。Django 提供了一個內建的使用者模型，可以用於建立和管理使用者帳戶。

from django.contrib.auth.models import User

# 建立一個新的使用者帳戶
user = User.objects.create_user('username', 'email@example.com', 'password')

登入和登出

要進行使用者身份驗證，需要使用 Django 的內建登入和登出檢視。

from django.contrib.auth import login, logout

# 登入
login(request, user)

# 登出
logout(request)

顯示使用者資訊

要顯示使用者資訊，需要使用 Django 的內建使用者模型。

from django.contrib.auth.models import User

# 取得當前使用者
user = request.user

# 顯示使用者資訊
print(user.username)
print(user.email)

測試身份驗證

要測試身份驗證，需要使用 Django 的內建測試框架。

from django.test import TestCase
from django.contrib.auth.models import User

class AuthenticationTestCase(TestCase):
    def test_login(self):
        # 建立一個新的使用者帳戶
        user = User.objects.create_user('username', 'email@example.com', 'password')

        # 登入
        login(self.client, user)

        # 驗證是否登入成功
        self.assertEqual(self.client.session['_auth_user_id'], user.id)
圖表翻譯：
  graph LR
    A[註冊] --> B[啟用]
    B --> C[登入]
    C --> D[顯示使用者資訊]
    D --> E[登出]
    E --> F[測試身份驗證]

內容解密：

在上面的程式碼中，我們使用了 Django 的內建使用者模型和檢視來進行使用者身份驗證。首先，我們建立了一個新的使用者帳戶，然後啟用它。接下來，我們進行了登入和登出，最後，我們顯示了使用者資訊並進行了測試。

使用 Django 建立使用者註冊功能

在這個章節中，我們將使用 Django 的 django-registration 套件來建立使用者註冊功能。首先，我們需要了解 Django 的基本元素，包括檢視（views）、模型（models）和範本（templates）。

檢視（Views）

檢視是 Django 中處理 HTTP 請求的函式或類別。它負責接收請求、處理業務邏輯，並傳回 HTTP 回應。檢視可以是函式或類別，在這本章中，我們將使用類別作為檢視。

模型（Models）

模型是 Django 中用於存取資料函式庫的類別。每個模型類別對應到資料函式庫中的 một 個表格，每個模型例項對應到表格中的一筆資料。模型允許您讀取、建立、更新和刪除資料函式庫中的資料。

範本（Templates）

範本是 Django 中用於生成 HTTP 回應內容的 HTML 檔案。範本包含 HTML 標籤和 Django 的範本語法，用於動態生成內容。

django-registration 套件

django-registration 套件提供了一個簡單的使用者註冊系統，包括使用者註冊、啟用和登入等功能。要使用這個套件，需要先安裝它：

pipenv install django-registration

然後，在 settings.py 檔案中新增 django_registration 到 INSTALLED_APPS 列表中：

INSTALLED_APPS = [
   ...
    'django_registration',
]

接著，執行以下命令更新資料函式庫：

python manage.py migrate

最後，在 urls.py 檔案中新增 django_registration 的 URL 組態：

from django.urls import path, include

urlpatterns = [
    path('admin/', admin.site.urls),
    path('accounts/', include('django_registration.backends.activation.urls')),
]

這樣就完成了使用者註冊功能的設定。使用者可以透過 /accounts/register/ URL 註冊，然後透過郵件啟用帳戶。

URL 組態

以下是 django_registration 的 URL 組態：

URL檢視
accounts/activate/complete/TemplateView
accounts/activate/<activation_key>/ActivationView

Django 註冊系統範本設定

Django 的註冊系統需要設定範本來顯示登入檔單和其他相關頁面。以下是設定範本的步驟：

步驟 1：設定範本路徑

在 settings.py 檔案中，找到 TEMPLATES 設定，並在 DIRS 列表中新增範本路徑：

TEMPLATES = [
    {
       ...
        'DIRS': [BASE_DIR / 'templates'],
       ...
    }
]

這設定告訴 Django 在 templates 目錄中尋找範本。

步驟 2：建立範本目錄

在專案根目錄中建立 templates 目錄，並在其中建立 django_registration 子目錄：

mkdir templates
mkdir templates/django_registration

步驟 3：建立登入檔單範本

在 templates/django_registration 目錄中建立 registration_form.html 範本檔案：

<!-- registration_form.html -->
<form method="post">
    {% csrf_token %}
    {{ form.as_p }}
    <button type="submit">註冊</button>
</form>

這個範本顯示一個簡單的登入檔單，包含 CSRF 欄位和表單欄位。

步驟 4：建立完成註冊範本

在 templates/django_registration 目錄中建立 registration_complete.html 範本檔案：

<!-- registration_complete.html -->
<p>註冊完成！</p>

這個範本顯示一個簡單的完成註冊訊息。

步驟 5：建立關閉註冊範本

在 templates/django_registration 目錄中建立 registration_closed.html 範本檔案：

<!-- registration_closed.html -->
<p>註冊已關閉。</p>

這個範本顯示一個簡單的關閉註冊訊息。

現在，Django 註冊系統已經設定完成，可以使用了。當使用者存取 /accounts/register/ 時，會顯示登入檔單；當使用者提交表單時，會顯示完成註冊訊息；當註冊關閉時，會顯示關閉註冊訊息。

Django 使用者驗證機制

Django 提供了一個強大的使用者驗證機制，可以幫助您管理使用者帳戶和許可權。以下是 Django 驗證機制的基本流程：

  1. 註冊：使用者填寫註冊表格，包含姓名、電子郵件和密碼等資訊。
  2. 啟用：系統傳送一封啟用郵件到使用者的電子郵件地址，郵件中包含一條啟用連結。
  3. 啟用確認：使用者點選啟用連結，系統確認啟用碼，然後啟用使用者的帳戶。
  4. 登入：使用者填寫登入表格，包含電子郵件和密碼等資訊。
  5. 驗證：系統驗證使用者的電子郵件和密碼，如果正確，則允許使用者登入。

Django 驗證機制的實作

Django 的驗證機制是透過以下幾個部分實作的：

  1. 模型（Model）：Django 的使用者模型（User）是儲存使用者資訊的基礎。
  2. 檢視（View）：Django 的檢視函式負責處理使用者的請求和回應。
  3. 範本（Template）：Django 的範本引擎負責渲染使用者介面。
  4. URL 組態（URL Configuration）：Django 的 URL 組態負責將 URL 對映到檢視函式。

Django 驗證機制的優點

Django 的驗證機制具有以下優點：

  1. 安全：Django 的驗證機制提供了強大的安全保護，包括密碼雜湊和安全的登入機制。
  2. 靈活：Django 的驗證機制可以根據您的需求進行自定義和擴充套件。
  3. 易於使用：Django 的驗證機制提供了簡單易用的 API 和工具，讓您可以快速地實作使用者驗證功能。

使用 Django 的內建身份驗證檢視

Django 提供了一系列內建的身份驗證檢視，可以幫助您快速建立身份驗證系統。這些檢視包括登入、登出、密碼變更、密碼重置等。

URL 組態

要使用這些內建檢視，需要在您的 URL 組態檔案中新增相應的路由。例如：

from django.urls import path
from django.contrib.auth import views as auth_views

urlpatterns = [
    path('accounts/login/', auth_views.LoginView.as_view(), name='login'),
    path('accounts/logout/', auth_views.LogoutView.as_view(), name='logout'),
    path('accounts/password_change/', auth_views.PasswordChangeView.as_view(), name='password_change'),
    path('accounts/password_change/done/', auth_views.PasswordChangeDoneView.as_view(), name='password_change_done'),
    path('accounts/password_reset/', auth_views.PasswordResetView.as_view(), name='password_reset'),
    path('accounts/password_reset/done/', auth_views.PasswordResetDoneView.as_view(), name='password_reset_done'),
    path('accounts/reset/<uidb64>/<token>/', auth_views.PasswordResetConfirmView.as_view(), name='password_reset_confirm'),
    path('accounts/reset/done/', auth_views.PasswordResetCompleteView.as_view(), name='password_reset_complete'),
]

檢視介紹

  • LoginView: 用於處理登入請求。
  • LogoutView: 用於處理登出請求。
  • PasswordChangeView: 用於處理密碼變更請求。
  • PasswordChangeDoneView: 用於顯示密碼變更成功的頁面。
  • PasswordResetView: 用於處理密碼重置請求。
  • PasswordResetDoneView: 用於顯示密碼重置請求成功的頁面。
  • PasswordResetConfirmView: 用於處理密碼重置確認請求。
  • PasswordResetCompleteView: 用於顯示密碼重置完成的頁面。

自定義檢視

如果您需要自定義身份驗證檢視，可以建立自己的檢視類別，並繼承 Django 的內建檢視類別。例如：

from django.contrib.auth.views import LoginView
from django.shortcuts import render

class CustomLoginView(LoginView):
    template_name = 'custom_login.html'

    def get_context_data(self, **kwargs):
        context = super().get_context_data(**kwargs)
        context['custom_var'] = 'custom value'
        return context

然後，在您的 URL 組態檔案中使用自定義檢視：

path('accounts/login/', CustomLoginView.as_view(), name='login'),

這樣，您就可以使用自定義的身份驗證檢視了。

建立 Django 應用程式

在建立 Django 專案後，現在是時候建立一個 Django 應用程式了。為此，請在專案根目錄下執行以下命令：

python manage.py startapp profile_info

這個命令將會建立一個名為 profile_info 的新目錄，裡麵包含了 Django 應用程式的基本結構。

編輯 views.py

開啟 profile_info 目錄下的 views.py 檔案，並將其內容替換為以下程式碼：

from django.http import HttpResponse
from django.shortcuts import render
from django.views.generic import View

class ProfileView(View):
    def get(self, request):
        user = request.user
        if not user.is_authenticated:
            return HttpResponse(status=401)
        return render(request, 'profile.html')

這個程式碼定義了一個 ProfileView 類別，該類別繼承自 Django 的 View 類別。當使用者傳送 GET 請求時，該檢視將會檢查使用者是否已經登入。如果使用者尚未登入，則傳回 401 狀態碼，否則將會渲染 profile.html 頁面。

建立 urls.py

在 profile_info 目錄下建立一個名為 urls.py 的新檔案，並新增以下程式碼：

from django.urls import path
from. import views

urlpatterns = [
    path('profile/', views.ProfileView.as_view(), name='profile'),
]

這個程式碼定義了一個 URL 組態，將 /profile/ 路徑對映到 ProfileView 檢視。

更新專案的 urls.py

開啟專案根目錄下的 urls.py 檔案，並新增以下程式碼：

from django.contrib import admin
from django.urls import include, path

urlpatterns = [
    #...
    path('accounts/', include('profile_info.urls')),
]

這個程式碼將 profile_info 應用程式的 URL 組態包含到專案的主 URL 組態中。

建立範本

在 profile_info 目錄下建立一個名為 templates 的新目錄，並在其中建立兩個新檔案：login.html 和 profile.html。

login.html 檔案內容如下：

<html>
<body>
    <form method='POST'>
        {% csrf_token %}
        {{ form.as_p }}
        <button type='submit'>登入</button>
    </form>
</body>
</html>

profile.html 檔案內容如下：

<html>
<body>
    <p>
        您好，{{ user.username }}。
       您的信箱：{{ user.email }}。
    </p>
    <form method="post" action="{% url 'logout' %}">
        {% csrf_token %}
        <button type="submit">登出</button>
    </form>
</body>
</html>

這兩個範本分別用於登入和個人資料頁面。

測試應用程式

現在，您可以啟動 Django 開發伺服器，並在瀏覽器中存取 http://localhost:8000/accounts/profile/ 來測試應用程式。

從系統安全與使用者經驗的雙重角度來看，本文深入探討了 Django 框架的會話管理機制與使用者驗證策略。分析比較了根據檔案、資料函式庫、快取，以及 Cookie 等不同會話管理機制的優劣，尤其點出了根據 Cookie 機制潛在的安全風險，例如重放攻擊和遠端程式碼執行漏洞。同時，文章也詳細闡述瞭如何利用 Django 內建功能以及第三方套件 django-registration 建立安全的使用者註冊、登入、登出流程，並搭配程式碼範例與 URL 組態說明，展現了高度的實務指導價值。展望未來，隨著網路攻擊手段日益複雜，Django 框架的安全性仍需持續強化。開發者應密切關注官方更新，並積極採用最佳實務，例如使用強加密演算法、設定 HttpOnly 和 Secure 標籤等，才能有效提升網站的安全性，保障使用者資料安全。玄貓認為，妥善運用 Django 的安全機制，並持續提升安全意識，是構建穩固網路應用不可或缺的一環。

玄貓

玄貓

技術愛好者，專注於分享程式開發、雲端技術與 AI 應用的心得體會。