Gestión de Usuarios y Permisos¶

Hasta ahora, nuestra aplicación no tenía en cuenta quién hacía qué, cualquiera podía subir contenidos y comentarios, así como cambiarlos. Vamos a ver cómo introducir autenticación y autorización en nuestra aplicación de Django. Para ello, vamos a añadir una primera vista a nuestra aplicación, tal que así:

from django.http import HttpResponse
[...]

def loggedIn(request):
    if request.user.is_authenticated:
        logged = "Logged in as " + request.user.username
    else:
        logged = "Not logged in. <a href='/admin/'>Login via admin</a>"
    return HttpResponse(logged)
   

En esta vista, podemos ver que existe un objeto request.user que tiene una propiedad is_authenticated. request.user viene determinado a partir de la sesión; si hay una sesión abierta, habrá un usuario (que estará autenticado). Si no hay sesión, entonces no habrá un usuario autenticado.

Para que la vista funcione, hemos de añadir a cms/urls.py la siguiente regla:

from django.urls import path

from . import views

urlpatterns = [
    path('', views.index),
    path('<str:llave>', views.get_content),
    path('loggedIn', views.loggedIn),
]

Si ejecutamos el servidor y pedimos loggedIn nos dará un error 404. Esto es porque las URLs se comprueban siguiendo el orden de definición de urls.py. Con la configuración actual, si pedimos loggedIn se cumple al regla '<str:llave>' al ser loggedIn una cadena de caracteres y se ejecutará su vista. Para que todo funcione bien, cms/urls.py debería ser así:

from django.urls import path

from . import views

urlpatterns = [
    path('', views.index),
    path('loggedIn', views.loggedIn),
    path('<str:llave>', views.get_content),
]

Nota que en caso de no estar autenticado, la página de respuesta contiene un enlace. Si pinchas sobre ese enlace, te llevará a la página de inicio del portal de gestión de tu proyecto Django, lo que generalmente llamamos admin (o la interfaz de administración). Si recuerdas bien, creamos hace un par de prácticas un superusuario. Introduce sus credenciales para entrar en la interfaz de administración. Y a continuación, vuelve a visitar la página loggedIn. Podrás comprobar que estás autenticado y que te saluda con request.user, que es tu nombre de usuario.

Ya que hemos visto como hacer login, véamos como salirnos de nuestra sesión (logout). Para ello, añadamos la siguiente vista:

from django.contrib.auth import logout
from django.shortcuts import redirect
[...]

def logout_view(request):
    logout(request)
    return redirect("/cms/")   

Como se puede observar, la vista es muy sencilla. Básicamente hace uso del método logout que se importa de django.contrib.auth. django.contrib.auth es una de las aplicaciones que vienen por defecto en Django.

Además, hacemos uso de un shortcut, que es redirect. redirect nos permite hacer una redirect como respuesta HTTP.

Debemos modificar cms/urls.py para que quede así:

from django.urls import path

from . import views

urlpatterns = [
    path('', views.index),
    path('loggedIn', views.loggedIn),
    path('logout', views.logout_view),
    path('<str:llave>', views.get_content),
]

Prueba a visitar la página de logout y posteriormente la de loggedIn. Comprobarás que ciertamente has salido de la sesión.

Hecho el logout, veamos cómo hacer login. Hacer login no es tan sencillo como logout, porque hace falta tener un formulario de autenticación (como el que hemos usado, prestado, de admin). Django ofrece funcionalidad para realizar el login, pero necesita que nosotros específiquemos cómo va a ser ese formulario de autenticación. Así que vamos a implementar la funcionalidad de login y lo haremos para el proyecto entero (i.e., para todas las apps). Para eso, primero debemos modificar el urls.py del proyecto:

from django.contrib import admin
from django.urls import include, path
from django.contrib.auth.views import LoginView as login


urlpatterns = [
    path('cms/', include('cms.urls')),
    path('calc/', include('calc.urls')),
    path('admin/', admin.site.urls),
    path('login', login.as_view()),
]

En este código, la parte relevante viene dada por la línea donde importamos la vista login de django.contrib.auth.views. Lo que estamos haciendo, por tanto, es utilizar una vista de una aplicación Django (llamada auth) y que viene preisntalada en Django. Esta vista realiza todas las acciones necesarias para gestionar el login, pero hace uso de una plantilla.

Para generar la plantilla que nos permita tener el formulario de login, primero debemos indicar en settings.py el diretorio donde estará nuestra plantilla. Recordarás que algo similar hicimos para las plantillas de nuestra aplicación, aunque entonces no necesitamos indicar nada en settings.py ya que las plantillas para las aplicaciones siempre se encuentran en el subdirectorio templates de la aplicación. Para plantillas de proyecto, necesitamos sin embargo indicar dónde van a estar alojadas:

TEMPLATES = [
    {
        'BACKEND': 'django.template.backends.django.DjangoTemplates',
        'DIRS': ['templates', ],
        'APP_DIRS': True,
        'OPTIONS': {
            'context_processors': [
                'django.template.context_processors.debug',
                'django.template.context_processors.request',
                'django.contrib.auth.context_processors.auth',
                'django.contrib.messages.context_processors.messages',
            ],
        },
    },
]

Una vez modificado el fichero settings.py, tendremos que crear el subdirectorio templates. Este subdirectorio lo crearemos en el raíz de Django (donde está manage.py). Dentro del subdirectorio templates, a su vez crearemos otro subdirectorio llamado registration y ahí crearemos un fichero llamado login.html. La razoń de todo esto es que la vista login buscará la plantilla en registration/login.html dentro del directorio donde se guarden todas las plantillas (en nuestro caso, templates). El contenido de la plantilla es el que se muestra a continuación:

<html>
  <body>
    <form method="POST" action="/login">
    {% csrf_token %}
      <table>
        <tr>
          <td>Username</td>
          <td>{{ form.username }}</td>
        </tr>
        <tr>
          <td>Password</td>
          <td>{{ form.password }}</td>
        </tr>
      </table>
    <input type="submit" value="login" />
    </form>
  </body>
</html>

Como puedes observar, se trata de un formulario HTML, que cuando se pulsa el botón de 'login', envía un POST a login. El formulario tiene dos campos, form.username y form.password, que es donde se han de introducir las credenciales. Una cuestión interesante es la línea justo después de la etiqueta form. Esta línea incluye el csrf_token, que es un código que se despliega como un campo del formulario oculto. De esta manera, Django puede controlar que todo POST que le llegue haya sido mediante el envío de un formulario propio; en caso de que reciba un POST sin el CSRF correcto, entenderá que puede ser debido a un ataque y lo desechará.

Prueba la página web de login y el formulario. Verás que una vez logueado con éxito, te redirigirá a una página que dará un 404. Esta redirección se puede cambiar. Busca en la documentación de Django en la web, cómo hacerlo.

Si has llegado hasta aquí, pon en el chat de Teams el siguiente mensaje: "Acabo de terminar la parte de login".

from django.http import HttpResponse
[...]
from django.template import loader

[...]

def imagen(request):
    template = loader.get_template('cms/plantilla.html')
    context = {}
    return HttpResponse(template.render(context, request))

from django.urls import path

from . import views

urlpatterns = [
    path('', views.index),
    path('imagen', views.imagen),
    path('loggedIn', views.loggedIn),
    path('logout', views.logout_view),
    path('<str:llave>', views.get_content),
]

STATICFILES_DIRS = [
    os.path.join(BASE_DIR, "static"),
    '/var/www/static/',
]

from django.conf import settings
from django.conf.urls.static import static

urlpatterns = [
    # ... aquí vienen el resto del URLConfs ...
] + static(settings.STATIC_URL, document_root=settings.STATIC_ROOT)

from django.conf import settings
from django.conf.urls.static import static

urlpatterns = [
    # ... the rest of your URLconf goes here ...
] + static(settings.MEDIA_URL, document_root=settings.MEDIA_ROOT)