Web programiranje → Python web: Django projekat → Django: prijava, odjava i zaštićene strane

Django: prijava, odjava i zaštićene strane

Gotove adrese za naloge

Red path("nalozi/", include("django.contrib.auth.urls")) iz glavnog urls.py uključuje:

Kuda se ide posle prijave i odjave određuju LOGIN_REDIRECT_URL i LOGOUT_REDIRECT_URL iz lekcije 3; LOGIN_URL = "login" kaže kuda se šalje neprijavljen korisnik.

Šablon za prijavu

{# templates/registration/login.html – ovo ime i mesto traži Django-ov LoginView #}
{% extends "base.html" %}

{% block naslov %}Prijava – Logo Kreator{% endblock %}

{% block sadrzaj %}
<div class="container py-4" style="max-width: 420px">
  <h1 class="h3 mb-3">Prijava</h1>
  {% if form.non_field_errors %}
    <div class="alert alert-danger">Pogrešno korisničko ime ili lozinka.</div>
  {% endif %}
  <form method="post">
    {% csrf_token %}
    <div class="mb-3">
      <label for="id_username" class="form-label">Korisničko ime</label>
      <input type="text" name="username" id="id_username" class="form-control" required autofocus>
    </div>
    <div class="mb-3">
      <label for="id_password" class="form-label">Lozinka</label>
      <input type="password" name="password" id="id_password" class="form-control" required>
    </div>
    <input type="hidden" name="next" value="{{ next }}">
    <button class="btn btn-danger w-100">Prijavi se</button>
  </form>
  <p class="mt-3 small">Nemaš nalog? <a href="{% url 'registracija' %}">Registruj se</a>.</p>
</div>
{% endblock %}

LoginView traži šablon registration/login.html i šalje mu formu pod imenom form i adresu povratka next. Ako su podaci pogrešni, form.non_field_errors nije prazno. Poruka namerno ne kaže da li je pogrešno ime ili lozinka – tako napadač ne može da sazna koja korisnička imena postoje.

Odjava: zašto POST

Od Django-a 5.0 odjava radi samo na POST zahtev. Da je dovoljan link (GET), tuđa stranica bi mogla da te odjavi skrivenom slikom sa tom adresom (CSRF). Zato je u base.html odjava mala forma sa dugmetom:

<form method="post" action="{% url 'logout' %}" class="d-inline">
  {% csrf_token %}
  <button class="btn btn-link nav-link">Odjava ({{ user.username }})</button>
</form>

Stari primeri sa <a href="/logout/"> u novim verzijama vraćaju grešku 405 (Method Not Allowed).

Zaštićene strane

from django.contrib.auth.decorators import login_required

@login_required                     # neprijavljen korisnik ide na /nalozi/login/?next=/moji-logoi/
def moji_logoi(request):
    logoi = request.user.logoi.all()
    return render(request, "logoi/moji_logoi.html", {"logoi": logoi})

Video: strana za prijavu

U videu je pogled za prijavu napisan ručno (authenticate + login). To je dobro za razumevanje, ali gotov LoginView je kraći i sigurniji.

Zadaci za vežbu

Za svaki zadatak postoji primer, uputstvo i rešenje.

Proveri znanje