第7章 认证会话与权限
文档摘要
第7章 认证会话与权限 章节摘要：认证回答"你是谁"，授权回答"你能做什么"。本章讲 Django 内置认证体系：用户模型与密码管理、登录登出的完整流程、Cookie 与会话的底层机制、权限与分组的管理模型，以及用 OneToOne 扩展用户信息的正道。 学习目标 使用内置认证视图与 authenticate/login 完成登录登出 解释会话的存取与 Cookie 的配合机制 掌握权限校验的三种挂法：视图装饰器、MixIn、模板判断 用 Profile 模型扩展用户并避免常见的坑 核心概念速览 HTTP 本无记忆，会话机制给了它记忆，认证体系教会它认人。 项目当前状态 表单就绪。本章结束时墨迹博客有完整的登录登出页面、仅作者可发文的权限约束，以及用户资料扩展。
第7章 认证会话与权限
章节摘要：认证回答"你是谁"，授权回答"你能做什么"。本章讲 Django 内置认证体系：用户模型与密码管理、登录登出的完整流程、Cookie 与会话的底层机制、权限与分组的管理模型，以及用 OneToOne 扩展用户信息的正道。
学习目标
- 使用内置认证视图与 authenticate/login 完成登录登出
- 解释会话的存取与 Cookie 的配合机制
- 掌握权限校验的三种挂法：视图装饰器、MixIn、模板判断
- 用 Profile 模型扩展用户并避免常见的坑
核心概念速览
HTTP 本无记忆，会话机制给了它记忆，认证体系教会它认人。
项目当前状态
表单就绪。本章结束时墨迹博客有完整的登录登出页面、仅作者可发文的权限约束，以及用户资料扩展。
认证与权限是项目从"个人玩具"走向"多角色系统"的分水岭。此前的墨迹博客所有人看到的内容一模一样；本章之后，作者能进后台发文，读者只能评论，管理员握着全站的钥匙。这套体系的底层是会话机制——HTTP 协议本身没有状态，靠 Cookie 与服务端存储配合才让服务器"认得"回头的访客。理解这层机制的意义远超 Django 本身：任何 Web 框架的认证实现大同小异，把这一章的流转图刻进脑子，将来换框架时只需查 API 手册，不必重学概念。
子章节导航
7.1 认证系统与会话管理
内置用户模型、登录登出实战、Cookie 与会话的机制、Profile 扩展。
7.2 权限系统与分组
默认权限、自定义权限、三种校验挂法、分组管理。
子章节之间的逻辑关系
认证：识别身份（7.1） | v 授权：约束行为（7.2）──> 第8章 Admin 的权限面板直接复用本章体系
前置知识与后续延伸
- 前置：第 4 章中间件与类视图、第 6 章表单体系。
- 为后续铺垫：Admin 的staff 权限、第 12 章安全加固都以本章为基础。
一句话概括本章在生命周期中的位置：它是系统从"内容展示"走向"角色协作"的那一级台阶，跨过去之后，项目的用户模型才算真正立起来。