[Django学习] 用户身份验证模块

django 用户身份验证模块(/django/contrib/auth/__init__.py)

在 settings.py 中，可以通过 AUTHENTICATION_BACKENDS 指定多个验证后台；
默认的一个后台是 django.contrib.auth.backends.ModelBackend
验证身份时，遇到第一个验证成功的就返回。

authenticate 方法
=============================================
对指定的用户名/密码或其他身份凭据（用 kwargs 方式指定的，因此可扩展）进行验证，
成功返回 user，失败返回 None.
如果验证成功，authenticate 方法还会给返回的 user 对象添加 backend 属性，指示是哪个配置的后台代码验证成功。

login 方法：
==============================================
向 session 中添加 user.id, user.backend 两个值。

logout 方法：
==============================================
去除上述两个值。

get_user 方法
==============================================
先取出 session 中的已登录的用户的 userid, backend 信息，
然后根据 backend 路径加载相关 backend 模块，
调用 backend 的 get_user 方法获取用户。
以上流程如果失败，则返回一个 AnonymousUser.

一般的用户登录代码：

from django.contrib.auth import authenticate, login
username = request.POST['username']
password = request.POST['password']
user = authenticate(username=username, password=password)
if user is not None:
    login(request, user)

那么 auth 这个包的 get_user 方法在什么地方用到呢，查了一下代码，发现在
/django/contrib/auth/middleware.py

class LazyUser(object):
    def __get__(self, request, obj_type=None):
        if not hasattr(request, '_cached_user'):
            from django.contrib.auth import get_user
            request._cached_user = get_user(request)
        return request._cached_user

class AuthenticationMiddleware(object):
    def process_request(self, request):
        assert hasattr(request, 'session'), "The Django authentication middleware requires session middleware to be installed. Edit your MIDDLEWARE_CLASSES setting to insert 'django.contrib.sessions.middleware.SessionMiddleware'."
        request.__class__.user = LazyUser()
        return None

这里给 request 注入了一个 user 属性，为了避免多次加载时反复调用 backend 的后台代码去数据库中读取用户，这里实现了一个 lazy-load 模式，用的是 __class__ 和 __get__ 结合的办法，很值得学习。我不清楚这个实现手段准确的叫法在 python 中是什么，大体是运行时通过修改类，去修改相关类实例的行为，这也是 python 动态性的优势的一个体现。

这样，我们在使用 request.user 的时候，就有内建的缓存机制了。

有时候，我们希望自动登录一个指定的用户，而这时候不知道用户的密码（密码可能是 hash 存储的）。但是默认的 authenticate 方法必须有 password 传递进去，其执行结果是给 user 对象赋了一个 backend 属性，为此我写了一个方法来模拟这个功能，实现不知道密码的情况下登录指定用户：

def login_user(request, user):
    user.backend = 'django.contrib.auth.backends.ModelBackend'
    from django.contrib.auth import login
    login(request, user)

这里所需的 user 参数我们可以直接通过某些其他的键值从数据库取得，比如 email 或者 id.