实施正确的用户身份验证非常困难，有很多安全问题，Django 带有强大的内置用户身份验证系统，我们可以根据需要使用和自定义。
每当你创建一个新项目时，默认情况下 Django 都会安装 auth 应用程序，它为我们提供User object，其中包含：
- 用户名
- 密码
- 电子邮件
- 名
- 姓
我们将使用这个 User 对象在我们的博客应用程序中实现登录、注销和注册。
登录
Django 通过LoginView为我们提供了登录页面的默认视图。我们需要添加的只是认证系统的 URLpattern、登录模板以及对 config/settings.py 文件的小更新。
config/urls.py
# config/urls.py
from django.contrib import admin
from django.urls import path, include
urlpatterns = [
path('admin/', admin.site.urls),
path('accounts/', include('django.contrib.auth.urls')), # new
path('', include('blog.urls')),
]
默认情况下，Django 将在名为 registration 的模板目录中查找名为 login.html 的文件以获取登录表单。
login.html
<!-- templates/registration/login.html -->
{% extends 'base.html' %}
{% block content %}
<h2>Log In</h2>
<form method="post">
{% csrf_token %}
{{ form.as_p }}
<button type="submit">Log In</button>
</form>
{% endblock content %}
最后一步是我们需要指定成功登录后将用户重定向到哪里。我们可以使用 LOGIN_REDIRECT_URL 设置来设置它。在 config/settings.py 文件的底部添加以下内容：
# config/settings.py
LOGIN_REDIRECT_URL = 'home'
更新主页
让我们更新我们的 base.html 模板，以便我们向用户显示一条消息，无论他们是否登录。我们可以为此使用 is_authenticated 属性。
现在，我们可以简单地将此代码放在显眼的位置。稍后我们可以更合适地设计它。使用结束 </header> 标记下方开始的新代码更新 base.html 文件。
<!-- templates/base.html -->
{% load static %}
<html>
<head>
<title>Django blog</title>
<link href="https://fonts.googleapis.com/css?family=Source+Sans+Pro:400" rel="stylesh\
eet">
<link href="{% static 'css/base.css' %}" rel="stylesheet"s>
</head>
<body>
<div>
<header>
<div class="nav-left">
<h1><a href="{% url 'home' %}">Django blog</a></h1>
</div>
<div class="nav-right">
<a href="{% url 'post_new' %}">+ New Blog Post</a>
</div>
</header>
{% if user.is_authenticated %}
<p>Hi {{ user.username }}!</p>
{% else %}
<p>You are not logged in.</p>
<a href="{% url 'login' %}">Log In</a>
{% endif %}
{% block content %}
{% endblock content %}
</div>
</body>
</html>
如果用户已登录会向他们打招呼，否则我们会指向新创建的登录页面的链接。
登出
templates/base.html
<!-- templates/base.html-->
...
{% if user.is_authenticated %}
<p>Hi {{ user.username }}!</p>
<p><a href="{% url 'logout' %}">Log out</a></p>
{% else %}
...
在我们的 base.html 文件中，添加一行 {% url 'logout' %} 链接，用于在我们的用户问候下方注销。
更新 config/settings.py 以提供重定向链接，该链接适当地称为 LOGOUT_REDIRECT_URL。我们可以将它添加到我们的登录重定向旁边，这样文件的底部应该如下所示：
# config/settings.py
LOGIN_REDIRECT_URL = 'home'
LOGOUT_REDIRECT_URL = 'home' # new
注册
我们需要为注册页面编写自己的视图来注册新用户，Django为我们提供了表单类UserCreationForm。默认情况下，它有三个字段：用户名，密码1，和密码2。
$ python manage.py startapp accounts
在我们的config/settings.py文件中把新的应用程序添加到INSTALLED_APPS设置中。
# config/settings.py
INSTALLED_APPS = [
'django.contrib.admin',
'django.contrib.auth',
'django.contrib.contenttypes',
'django.contrib.sessions',
'django.contrib.messages',
'django.contrib.staticfiles',
'blog',
'accounts', # new
]
config/urls.py
# config/urls.py
from django.contrib import admin
from django.urls import path, include
urlpatterns = [
path('admin/', admin.site.urls),
path('accounts/', include('django.contrib.auth.urls')),
path('accounts/', include('accounts.urls')), # new
path('', include('blog.urls')),
]
accounts/urls.py
# accounts/urls.py
from django.urls import path
from .views import SignUpView
urlpatterns = [
path('signup/', SignUpView.as_view(), name='signup'),
]
accounts/views.py
# accounts/views.py
from django.contrib.auth.forms import UserCreationForm
from django.urls import reverse_lazy
from django.views import generic
class SignUpView(generic.CreateView):
form_class = UserCreationForm
success_url = reverse_lazy('login')
template_name = 'registration/signup.html'
我们使用reverse_lazy来在注册成功后将用户重定向到登录页面。
为什么在这里使用reverse_lazy而不是reverse？原因是对于所有基于类的通用视图，当文件被导入时，URLs并没有被加载，所以我们必须使用reverse的懒惰形式，在它们可用时再加载它们。
现在让我们把signup.html添加到templates/registration/目录中。
templates/registration/signup.html
<!-- templates/signup.html -->
{% extends 'base.html' %}
{% block content %}
<h2>Sign Up</h2>
<form method="post">
{% csrf_token %}
{{ form.as_p }}
<button type="submit">Sign Up</button>
</form>
{% endblock content %}
