Повышение безопасности входа в Django и надежности пароля

Question

Когда я создаю суперпользователя Django, если я пытаюсь добавить слабый пароль, Django не позволяет мне, но для обычных пользователей, в режиме администратора или с помощью формы регистрации, я могу добавить очень простой пароль.

1. Как я могу объявить подтверждение пароля от создания суперпользователя всем пользователям?
2. Можно ли ограничить количество неудачных попыток входа в систему (я предпочитаю без сторонних)

Answer 1

При создании пользователей или суперпользователей оба используют одинаковые параметры конфигурации Django AUTH_PASSWORD_VALIDATORS, и если оставить их без изменений, они будут содержать список валидаторов, с которыми будут проверяться все пароли при создании пользователей через администратора Django. Это также место, где вы укрепляете свои валидаторы, добавляя больше, если хотите больше или удаляя, если хотите быть более слабыми.

Однако, если вы создаете пользователей с помощью команд управления create_user и create_superuser, этот список валидаторов не будет применяться. Это потому, что Django предполагает, что только разработчики взаимодействуют с Django на этом уровне.

Что касается вашего второго запроса, в Django нет ничего встроенного, поддерживающего попытки входа и последующую блокировку дальнейших входов. Это то, что исходит от сторонних приложений, таких как django-defender или от собственной реализации.

Широкие штрихи этой реализации

1. Добавить новый механизм таблиц, который хранит количество попыток

2. Добавить новые настройки в settings.py LOGIN_ATTEMPTS = 3

3. Переопределить поток входа в систему для пользователя, в котором вы проверяете эту таблицу на попытки
4. В случае неудачной попытки увеличить счетчик, в случае успешного сброса счетчика.
5. Если пользователь достигает предела попыток, задайте для пользователей is_active значение False и всегда возвращайте False из переопределения login.