Django中的密码管理¶

使用Argon2和Django¶

Argon2 是2015年 Password Hashing Competition 的获胜者，社区组织开放竞争选择下一代哈希算法。它的设计不容易在自定义硬件上计算，而不是在普通CPU上计算。

Argon2 不是Django的默认值，因为它需要第三方库。然而，密码散列竞争面板建议立即使用Argon2，而不是Django支持的其他算法。

要使用Argon2作为默认存储算法，请执行以下操作：

1. 安装 argon2-cffi library。这可以通过运行 pip install django[argon2] 来完成，这等同于 pip install argon2-cffi （以及来自Django的 setup.py 的任何版本要求）。

2. 修改 PASSWORD_HASHERS 以首先列出 Argon2PasswordHasher。也就是说，在您的设置文件中，您可以放置:

   PASSWORD_HASHERS = [
       'django.contrib.auth.hashers.Argon2PasswordHasher',
       'django.contrib.auth.hashers.PBKDF2PasswordHasher',
       'django.contrib.auth.hashers.PBKDF2SHA1PasswordHasher',
       'django.contrib.auth.hashers.BCryptSHA256PasswordHasher',
       'django.contrib.auth.hashers.BCryptPasswordHasher',
   ]
   

   如果您需要Django到 升级密码，请保留和/或添加此列表中的任何条目。

使用 bcrypt 与Django¶

Bcrypt 是一种常用的密码存储算法，专为长期密码存储而设计。它不是Django使用的默认值，因为它需要使用第三方库，但由于许多人可能想使用它Django支持bcrypt最小的努力。

要使用Bcrypt作为默认存储算法，请执行以下操作：

1. 安装 bcrypt library。这可以通过运行 pip install django[bcrypt] 来完成，这等同于 pip install bcrypt （以及来自Django的 setup.py 的任何版本要求）。

2. 修改 PASSWORD_HASHERS 以首先列出 BCryptSHA256PasswordHasher。也就是说，在您的设置文件中，您可以放置:

   PASSWORD_HASHERS = [
       'django.contrib.auth.hashers.BCryptSHA256PasswordHasher',
       'django.contrib.auth.hashers.BCryptPasswordHasher',
       'django.contrib.auth.hashers.PBKDF2PasswordHasher',
       'django.contrib.auth.hashers.PBKDF2SHA1PasswordHasher',
       'django.contrib.auth.hashers.Argon2PasswordHasher',
   ]
   

   如果您需要Django到 升级密码，请保留和/或添加此列表中的任何条目。

就是这样 - 现在你的Django安装将使用Bcrypt作为默认存储算法。

增加工作因子¶

密码升级¶

当用户登录时，如果他们的密码与除首选算法以外的任何其他存储在一起，Django会自动将算法升级到首选算法。这意味着，旧的安装的Django将获得自动更安全的用户登录，这也意味着你可以切换到新的（和更好的）存储算法发明时。

但是，Django只能升级使用 PASSWORD_HASHERS 中提到的算法的密码，因此在升级到新系统时，应确保不要从此列表中删除 remove 条目。如果这样做，用户使用未提及的算法将无法升级。当增加（或减少）PBKDF2迭代次数或bcrypt轮次时，已更新密码。

请注意，如果数据库中的所有密码都未使用默认哈希算法进行编码，则您可能会遇到用户枚举计时攻击，因为用户的登录请求的持续时间与密码在非默认算法和对不存在的用户（运行默认哈希）的登录请求的持续时间。你可以通过 升级旧密码散列 缓解这一点。

密码升级，无需登录¶

如果您的现有数据库具有较旧的弱散列（例如MD5或SHA1），则可能需要自己升级这些散列，而不是等待用户登录时发生升级（如果用户没有返回您的网站）。在这种情况下，您可以使用“包装”密码哈希。

对于此示例，我们将迁移SHA1散列的集合以使用PBKDF2（SHA1（密码）），并添加相应的密码哈希以检查用户是否在登录时输入正确的密码。我们假设我们使用内置的 User 模型，我们的项目有一个 accounts 应用程序。您可以修改模式以使用任何算法或自定义用户模型。

首先，我们将添加自定义哈希：

from django.contrib.auth.hashers import (
    PBKDF2PasswordHasher, SHA1PasswordHasher,
)


class PBKDF2WrappedSHA1PasswordHasher(PBKDF2PasswordHasher):
    algorithm = 'pbkdf2_wrapped_sha1'

    def encode_sha1_hash(self, sha1_hash, salt, iterations=None):
        return super(PBKDF2WrappedSHA1PasswordHasher, self).encode(sha1_hash, salt, iterations)

    def encode(self, password, salt, iterations=None):
        _, _, sha1_hash = SHA1PasswordHasher().encode(password, salt).split('$', 2)
        return self.encode_sha1_hash(sha1_hash, salt, iterations)

数据迁移可能如下所示：

from django.db import migrations

from ..hashers import PBKDF2WrappedSHA1PasswordHasher


def forwards_func(apps, schema_editor):
    User = apps.get_model('auth', 'User')
    users = User.objects.filter(password__startswith='sha1$')
    hasher = PBKDF2WrappedSHA1PasswordHasher()
    for user in users:
        algorithm, salt, sha1_hash = user.password.split('$', 2)
        user.password = hasher.encode_sha1_hash(sha1_hash, salt)
        user.save(update_fields=['password'])


class Migration(migrations.Migration):

    dependencies = [
        ('accounts', '0001_initial'),
        # replace this with the latest migration in contrib.auth
        ('auth', '####_migration_name'),
    ]

    operations = [
        migrations.RunPython(forwards_func),
    ]

请注意，根据您的硬件速度，这个迁移将花费几千分钟的时间。

最后，我们将添加一个 PASSWORD_HASHERS 设置：

PASSWORD_HASHERS = [
    'django.contrib.auth.hashers.PBKDF2PasswordHasher',
    'accounts.hashers.PBKDF2WrappedSHA1PasswordHasher',
]

包括您的网站在此列表中使用的任何其他哈希。

包括哈希¶

Django中包含的哈希的完整列表是:

[
    'django.contrib.auth.hashers.PBKDF2PasswordHasher',
    'django.contrib.auth.hashers.PBKDF2SHA1PasswordHasher',
    'django.contrib.auth.hashers.Argon2PasswordHasher',
    'django.contrib.auth.hashers.BCryptSHA256PasswordHasher',
    'django.contrib.auth.hashers.BCryptPasswordHasher',
    'django.contrib.auth.hashers.SHA1PasswordHasher',
    'django.contrib.auth.hashers.MD5PasswordHasher',
    'django.contrib.auth.hashers.UnsaltedSHA1PasswordHasher',
    'django.contrib.auth.hashers.UnsaltedMD5PasswordHasher',
    'django.contrib.auth.hashers.CryptPasswordHasher',
]

对应的算法名称为：

• pbkdf2_sha256

• pbkdf2_sha1

• argon2

• bcrypt_sha256

• bcrypt

• sha1

• md5

• unsalted_sha1

• unsalted_md5

• crypt

写你自己的哈希¶

如果您编写自己的密码哈希，其中包含工作因素（例如多次迭代），则应实施 harden_runtime(self, password, encoded) 方法以弥补 encoded 密码中提供的工作因子与哈希的默认工作因子之间的运行时间差。这防止了由于对具有在较旧迭代次数中编码的密码的用户的登录请求与不存在用户（运行默认哈希的默认迭代次数）之间的差异而导致的用户枚举定时攻击。

以PBKDF2为例，如果 encoded 包含20,000次迭代，哈希默认 iterations 为30,000，则该方法应该通过PBKDF2的另外10,000次迭代运行 password。

如果您的哈希没有工作因子，请将该方法实现为无操作（pass）。

启用密码验证¶

密码验证在 AUTH_PASSWORD_VALIDATORS 设置中配置:

AUTH_PASSWORD_VALIDATORS = [
    {
        'NAME': 'django.contrib.auth.password_validation.UserAttributeSimilarityValidator',
    },
    {
        'NAME': 'django.contrib.auth.password_validation.MinimumLengthValidator',
        'OPTIONS': {
            'min_length': 9,
        }
    },
    {
        'NAME': 'django.contrib.auth.password_validation.CommonPasswordValidator',
    },
    {
        'NAME': 'django.contrib.auth.password_validation.NumericPasswordValidator',
    },
]

此示例启用所有四个包括的验证器：

• UserAttributeSimilarityValidator，它检查密码和用户的一组属性之间的相似性。

• MinimumLengthValidator，它只是检查密码是否满足最小长度。此验证器配置有自定义选项：现在要求最小长度为九个字符，而不是默认的八个。

• CommonPasswordValidator，它检查密码是否出现在常用密码列表中。默认情况下，它会与包含的1000个常用密码的列表进行比较。

• NumericPasswordValidator，它检查密码是否不是完全数字。

对于 UserAttributeSimilarityValidator 和 CommonPasswordValidator，我们仅使用此示例中的默认设置。 NumericPasswordValidator 没有设置。

帮助文本和密码验证器发生的任何错误总是按照在 AUTH_PASSWORD_VALIDATORS 中列出的顺序返回。

包括验证程序¶

Django包括四个验证器：

class MinimumLengthValidator(min_length=8)¶

验证密码是否满足最小长度。最小长度可以使用 min_length 参数自定义。

class UserAttributeSimilarityValidator(user_attributes=DEFAULT_USER_ATTRIBUTES, max_similarity=0.7)¶

验证密码是否与用户的某些属性充分不同。

user_attributes 参数应该是可比较的用户属性的名称的迭代。如果未提供此参数，则使用默认值：'username', 'first_name', 'last_name', 'email'。将忽略不存在的属性。

在拒绝之前，密码可以具有的最大相似性可以使用 max_similarity 参数以0到1的比例设置。设置为0将导致所有密码被拒绝，而设置为1将导致密码被拒绝只拒绝与属性值相同的密码。

class CommonPasswordValidator(password_list_path=DEFAULT_PASSWORD_LIST_PATH)¶

验证密码是否不是通用密码。默认情况下，这将检查由 Mark Burnett 创建的1000个常用密码的列表。

password_list_path 可以设置为常用密码的自定义文件的路径。此文件应该每行包含一个密码，可以是纯文本或gzip压缩。

class NumericPasswordValidator¶

验证密码是否不是完全数字。

集成验证¶

在 django.contrib.auth.password_validation 中有一些功能，您可以从您自己的表单或其他代码调用以集成密码验证。例如，如果您使用自定义表单进行密码设置，或者如果您有允许设置密码的API调用，这可能很有用。

validate_password(password, user=None, password_validators=None)¶

验证密码。如果所有验证器都找到密码有效，则返回 None。如果一个或多个验证程序拒绝密码，则生成带有来自验证程序的所有错误消息的 ValidationError。

user 对象是可选的：如果没有提供，一些验证器可能无法执行任何验证，并且将接受任何密码。

password_changed(password, user=None, password_validators=None)¶

通知所有验证器密码已更改。这可以由验证器使用，例如防止密码重用的验证器。一旦成功更改密码，应该调用此方法。

对于 AbstractBaseUser 的子类，当调用 set_password() 时，密码字段将被标记为“dirty”，在用户保存后触发对 password_changed() 的调用。

password_validators_help_texts(password_validators=None)¶

返回所有验证器的帮助文本列表。这些解释了对用户的密码要求。

password_validators_help_text_html(password_validators=None)¶

返回一个包含 <ul> 中所有帮助文本的HTML字符串。这在向表单添加密码验证时很有用，因为您可以将输出直接传递到表单字段的 help_text 参数。

get_password_validators(validator_config)¶

根据 validator_config 参数返回一组验证器对象。默认情况下，所有函数都使用 AUTH_PASSWORD_VALIDATORS 中定义的验证器，但是通过使用另一组验证器调用此函数，然后将结果传递给其他函数的 password_validators 参数，将使用您的自定义验证器集。当您具有一组典型的验证器以在大多数情况下使用时，这种方法很有用，但也有一种需要自定义集合的特殊情况。如果您始终使用相同的验证器集合，则不需要使用此功能，因为默认情况下使用来自 AUTH_PASSWORD_VALIDATORS 的配置。

validator_config 的结构与 AUTH_PASSWORD_VALIDATORS 的结构相同。此函数的返回值可以传递到上面列出的函数的 password_validators 参数中。

注意，当密码传递到这些函数之一时，这应该始终是明文密码 - 而不是散列密码。

编写自己的验证器¶

如果Django的内置验证器不足，您可以编写自己的密码验证器。验证器是相当简单的类。他们必须实现两种方法：

• validate(self, password, user=None)：验证密码。如果密码有效，则返回 None，如果密码无效，则提出带有错误消息的 ValidationError。你必须能够处理 user 是 None - 如果这意味着你的验证器不能运行，只是返回 None 没有错误。

• get_help_text()：提供帮助文本，向用户解释要求。

在 AUTH_PASSWORD_VALIDATORS 的 OPTIONS 中您的验证器的任何项目将被传递给构造函数。所有构造函数参数应该有一个默认值。

这里有一个验证器的基本示例，有一个可选设置:

from django.core.exceptions import ValidationError
from django.utils.translation import ugettext as _

class MinimumLengthValidator(object):
    def __init__(self, min_length=8):
        self.min_length = min_length

    def validate(self, password, user=None):
        if len(password) < self.min_length:
            raise ValidationError(
                _("This password must contain at least %(min_length)d characters."),
                code='password_too_short',
                params={'min_length': self.min_length},
            )

    def get_help_text(self):
        return _(
            "Your password must contain at least %(min_length)d characters."
            % {'min_length': self.min_length}
        )

您也可以实现 password_changed(password, user=None），将在成功更改密码后调用。例如，这可以用于防止密码重用。但是，如果您决定存储用户以前的密码，则绝对不要使用明文形式。