Djangoでカスタムユーザモデルを使用しているときにパスワードが保護されないのはなぜですか？

Question

私はDjangoでカスタムユーザモデルを構築しようとしています。マイmodels.pyは次のようになります。

class UserManager(BaseUserManager): 

    def _create_user(self, username, email, password, is_staff, is_superuser, **extra_fields): 
     now = timezone.now() 
     if not username: 
      raise ValueError(_('The given username must be set')) 
     if not email: 
      raise ValueError(_('The given email must be set')) 
     email = self.normalize_email(email) 
     user = self.model(
      username=username, email=email, 
      is_staff=is_staff, is_active=False, 
      is_superuser=is_superuser, last_login=now, 
      date_joined=now, **extra_fields 
     ) 
     user.set_password(password) 
     user.save(using=self._db) 
     return user 

    def create_user(self, username, email, password=None, **extra_fields): 
     return self._create_user(username, email, password, False, False, **extra_fields) 

    def create_superuser(self, username, email, password, **extra_fields): 
     user=self._create_user(username, email, password, True, True, **extra_fields) 
     user.is_active=True 
     user.save(using=self._db) 
     return user 

class User(AbstractBaseUser, PermissionsMixin): 
    # Standard fields 
    username = models.CharField(_('username'), max_length=30, unique=True, 
     help_text=_('Required. 30 characters or fewer. Letters, numbers and @/./+/-/_ characters'), 
     validators=[ 
     validators.RegexValidator(re.compile('^[\w.@+-]+$'), _('Enter a valid username.'), _('invalid')) 
    ]) 
    first_name = models.CharField(_('first name'), max_length=30, blank=True, null=True) 
    last_name = models.CharField(_('last name'), max_length=30, blank=True, null=True) 
    email = models.EmailField(_('email address'), max_length=255) 
    is_staff = models.BooleanField(_('staff status'), default=False, 
     help_text=_('Designates whether the user can log into this admin site.')) 
    is_active = models.BooleanField(_('active'), default=True, 
     help_text=_('Designates whether this user should be treated as active. Unselect this instead of deleting accounts.')) 
    date_joined = models.DateTimeField(_('date joined'), default=timezone.now) 

    # Custom fields 
    is_publisher = models.BooleanField(_('publisher status'), default=False) 

    # User manager 
    objects = UserManager() 

    USERNAME_FIELD = 'username' 
    REQUIRED_FIELDS = ['email'] 

    class Meta: 
     verbose_name = _('user') 
     verbose_name_plural = _('users') 

    def get_full_name(self): 
     full_name = '%s %s' % (self.first_name, self.last_name) 
     return full_name.strip() 

    def get_short_name(self): 
     return self.first_name 

    def email_user(self, subject, message, from_email=None): 
     send_mail(subject, message, from_email, [self.email]) 

をとにかく、私はcreatesuperuserコマンドを使用して、スーパーユーザーを作成した場合、すべてが正常に動作します：ユーザーが作成され、パスワードが正しくハッシュされ、固定されています。ただし、管理パネルからユーザーを作成すると、作成したユーザーのパスワードが完全に公開されます。また、Djangoで使用されている通常のユーザモデルでは確認パスワードフィールドは表示されません。どうすればこの問題を解決できますか？

また、私はsettings.pyにAUTH_USER_MODEL = 'myapp.User'を持っています。

Answer 1

ユーザモデルアイテムを作成/更新するには、カスタムModelFormとModelAdminが必要です。

を参照してください：あなたのviews.pyでCustom User Models with Admin Site

Answer 2

def home(request): if request.method == 'POST': uf = UserForm(request.POST, prefix='user') upf = UserProfileForm(request.POST, prefix='userprofile') if uf.is_valid() * upf.is_valid(): userform = uf.save(commit=False) userform.password = make_password(uf.cleaned_data['password']) userform.save() messages.success(request, 'successful Registration', extra_tags='safe') else: uf = UserForm(prefix='user') return render_to_response('base.html', dict(userform=uf ), context_instance=RequestContext(request))

Djangoのフォームからパスワードを取得するためにこれを使用してforms.pyの試みをしてみてください。これがうまくいきます

Answer 3

カスタムコードがなく、passwordフィールドに直接アクセスできるフォームは、パスワードフィールドに直接書き込みます。 createuserまたはcreatesuperuserは呼び出されないので、set_passwordは決して呼び出されません（デフォルトでは、saveというモデルが呼び出されたときにModelFormはsaveを呼び出します）。ユーザーパスワードを書くことは、安全なパスワードを書いていないことを思い出してください（そのため、createuserとcreatesuperuserはset_passwordと呼びます）。これを行うには、呼び出し、代わりに、フィールドに直接書き込むが、避ける：

myuserinstance.set_password('new pwd') 
# not this: 
# myuserinstance.password = 'new pwd' 

は、だから、カスタムフォームでカスタムロジックを使用する必要があります。 See the implementation for details; you will notice those forms have custom logic calling set_password and check_password。 DjangoのデフォルトのUserAdminは、user/password/password_confirm（このようなパスワードが作成されます）の2つのステップでユーザを作成し、次にユーザデータ全体を作成します。そのためのカスタム実装があります。