Python 为什么不是'；在Django中使用自定义用户模型时，我的密码是否安全？

我正在尝试用Django构建一个自定义用户模型。我的models.py如下所示：

class UserManager(BaseUserManager):

    def _create_user(self, username, email, password, is_staff, is_superuser, **extra_fields):
        now = timezone.now()
        if not username:
            raise ValueError(_('The given username must be set'))
        if not email:
            raise ValueError(_('The given email must be set'))
        email = self.normalize_email(email)
        user = self.model(
            username=username, email=email,
            is_staff=is_staff, is_active=False,
            is_superuser=is_superuser, last_login=now,
            date_joined=now, **extra_fields
        )
        user.set_password(password)
        user.save(using=self._db)
        return user

    def create_user(self, username, email, password=None, **extra_fields):
        return self._create_user(username, email, password, False, False, **extra_fields)

    def create_superuser(self, username, email, password, **extra_fields):
        user=self._create_user(username, email, password, True, True, **extra_fields)
        user.is_active=True
        user.save(using=self._db)
        return user

class User(AbstractBaseUser, PermissionsMixin):
    # Standard fields
    username = models.CharField(_('username'), max_length=30, unique=True,
        help_text=_('Required. 30 characters or fewer. Letters, numbers and @/./+/-/_ characters'),
        validators=[
        validators.RegexValidator(re.compile('^[\w.@+-]+$'), _('Enter a valid username.'), _('invalid'))
    ])
    first_name = models.CharField(_('first name'), max_length=30, blank=True, null=True)
    last_name = models.CharField(_('last name'), max_length=30, blank=True, null=True)
    email = models.EmailField(_('email address'), max_length=255)
    is_staff = models.BooleanField(_('staff status'), default=False,
        help_text=_('Designates whether the user can log into this admin site.'))
    is_active = models.BooleanField(_('active'), default=True,
        help_text=_('Designates whether this user should be treated as active. Unselect this instead of deleting accounts.'))
    date_joined = models.DateTimeField(_('date joined'), default=timezone.now)

    # Custom fields
    is_publisher = models.BooleanField(_('publisher status'), default=False)

    # User manager
    objects = UserManager()

    USERNAME_FIELD = 'username'
    REQUIRED_FIELDS = ['email']

    class Meta:
        verbose_name = _('user')
        verbose_name_plural = _('users')

    def get_full_name(self):
        full_name = '%s %s' % (self.first_name, self.last_name)
        return full_name.strip()

    def get_short_name(self):
        return self.first_name

    def email_user(self, subject, message, from_email=None):
        send_mail(subject, message, from_email, [self.email])

无论如何，如果我使用createsuperuser命令创建一个超级用户，那么一切都可以正常工作：用户被创建，密码被正确地散列和保护。但是，如果我从管理面板创建用户，则创建的用户的密码将完全公开。此外，confirm password字段不会显示，这在Django中使用的常规用户模型中是如此。我怎样才能解决这个问题

---

另外，是的，我的settings.py中有AUTH_USER_MODEL='myapp.USER'。

您需要一个自定义的ModelForm和ModelAdmin来创建/更新用户模型项

请参阅：

def home（请求）：
如果request.method==“POST”：
uf=UserForm（request.POST，前缀='user'）
upf=UserProfileForm（request.POST，前缀='userprofile'）
如果uf.is_valid（）*upf.is_valid（）：
userform=uf.save（commit=False）
userform.password=make_password（uf.cleaned_数据['password']）
userform.save（）
消息。成功（请求，
‘成功注册’，
额外标签（安全标签）
其他：
uf=UserForm（前缀='user'）
返回render\u to\u响应（'base.html'，
dict（userform=uf
),
context\u instance=RequestContext（请求））

---

在your views.py中尝试使用此选项，在forms.py中尝试从django表单获取密码。希望这能起作用

一个没有自定义代码的表单，直接访问

密码

字段，直接在密码字段上写入不调用createuser或createsuperuser，因此从不调用set_password（默认情况下，在模型中调用

save

时，模型表单在模型中调用

save

）。回想一下，写入用户密码不会写入安全密码（这就是为什么

createuser

和

createsuperuser

调用

set_password

的原因）。为此，避免直接在字段上书写，而是调用：

myuserinstance.set_password('new pwd')
# not this:
# myuserinstance.password = 'new pwd'

---

因此，您必须在自定义表单中使用自定义逻辑。顺便说一句，Django中的defaultuseradmin通过两个步骤创建用户：user/password/password\u confirm（这样的密码创建），然后是整个用户数据。这有一个非常定制的实现。

您需要使用一个模型管理类来处理密码散列。有关更多信息，请参阅。