如何使用伪管理员登录增加Django管理的额外安全性？

介绍

Django 是一种基于 Python 的开源 Web 应用程序框架，它为开发人员提供了高效和安全的方式来构建 Web 项目。它提供了一个预制的用户身份验证系统，使用户身份验证变得简单易行。然而，Django 默认情况下的管理员身份验证系统并不完美，因为 Django 要求管理员在前端应用程序界面上输入其凭据才能访问功能，这很容易被黑客破解。本文将介绍如何使用伪管理员登录增强 Django 管理员身份验证系统，并进一步提高 Web 应用程序的安全性。

更多Python文章，请阅读：Python 教程

实现

首先，我们需要创建一个新的 user model，以便修改授权的方式，创建一个 models.py 文件并添加以下代码：

from django.contrib.auth.models import AbstractUser

class CustomUser(AbstractUser):
    is_admin = models.BooleanField(default=False)

    def save(self, *args, **kwargs):
        if self.is_admin:
            self.is_staff = True
            self.is_superuser = True
        super(CustomUser, self).save(*args, **kwargs)

以上代码创建了一个 CustomUser 模型，扩展了 Django 的内置 AbstractUser 模型。is_admin 属性为该模型添加了一个特定的成员变量，表示用户是否是伪管理员。此外，模型上还定义了一个 save() 方法，它将 is_staff 和 is_superuser 属性设置为 True，如果 is_admin 属性为 True。现在我们需要创建一个 python 到数据库的迁移，以便 Django 可以更新数据库，将 CustomUser 模型添加到其中。在 terminal 执行以下命令来生成一个迁移：

python manage.py makemigrations

接下来，需要应用迁移并将自定义的 CustomUser 纳入 Django 管理员模型。在 terminal 中执行以下命令：

python manage.py migrate

# 修改 settings.py 文件
AUTH_USER_MODEL = 'myapp.CustomUser'

在本例中，”myapp” 是应用程序的名称。现在，我们可以通过 Django 管理员面板创建管理员帐号了。假设我们创建了一个称为“SuperAdmin”的管理员。这时，我们需要实现一个登录页，该登录页允许输入管理员凭据进行身份验证。在 views.py 中添加以下代码：

from django.contrib.auth import authenticate, login
from django.contrib.auth.decorators import user_passes_test
from django.shortcuts import render, redirect

@user_passes_test(lambda user: user.is_admin)
def manager_login(request):
    if request.method == 'POST':
        username = request.POST['username']
        password = request.POST['password']
        user = authenticate(username=username, password=password)
        if user is not None and user.is_active:
            login(request, user)
            return redirect('admin:index')
        else:
            error = 'Invalid Login Credentials'
            return render(request, 'login.html', {'error': error})
    else:
        return render(request, 'login.html')

以上代码创建了一个视图函数 manager_login()，该函数包含身份验证部分和 render() 函数，用于呈现 HTML 模板。@user_passes_test 装饰器允许我们设置视图函数只能由伪管理员用户访问。如果管理员使用正确的凭据进行了身份验证，login() 函数将会登录并将其重定向到 Django 管理员控制面板，否则将返回登录重试的页面。现在，我们需要创建一个 HTML 模板，并将其命名为 login.html，具体内容如下：

{% extends 'admin/base.html' %}

{% block extrahead %}{{block.super}}{% endblock %}

{% block content %}
<div>
  <h2 class="login-title">Login</h2>
  {% if error %}
  <p class="error">{{ error}}</p>
{% endif %}
  <form method="post">
    {% csrf_token %}
    <label for="username">Username:</label><br>
    <input type="text" id="username" name="username"><br>
    <label for="password">Password:</label><br>
    <input type="password" id="password" name="password"><br><br>
    <input type="submit" value="Submit">
  </form>
</div>
{% endblock %}

此 HTML 模板包含一个表单，其中包含用户名和密码字段，并且在表单提交时执行身份验证的处理程序。当管理员成功登录之后，将被重定向到 Django 管理员控制面板。