前置き

最近のDjango-allauthは大きく仕様が変わりつつある。

settings.pyの編集がこれまでのものとは異なる。

ソーシャル認証ができるという強みから、かなり昔から扱ってきたが、APIの仕様が変化し続けている中であえて実装するのはとても手間だ。

故に、本格的にDjangoのデフォルトの認証機能を扱うことにした。

カスタムユーザーモデル実装とメール認証を前提として。

実装にあたって

これまでDjangoのデフォルトの認証機能を敬遠してきたからか、ほとんど知識が無い。

以前、下記記事で扱ったことはあるので、こちらを踏襲した上でコードを書いて、GitHubにプッシュしておく。

【Django】allauth未使用でユーザー認証機能を実装した簡易掲示板【ログインとログアウトのみ】

仕様

• 実装するカスタムユーザーモデルはidをuuidとする。emailの入力は必須化。それ以外はそのまま。
• メールアドレス+パスワード で認証する
• ログイン、ログアウト、アカウント作成、パスワード変更、パスワードリセットの機能を有する
• ログイン時にメールを送信する(後述のシグナルを使う)
• テンプレートはすべて自前で用意する。
• 汎用性を考慮してURL名はそのまま。app_nameは使わない
• LogoutViewのgetメソッドは拒否しておく(Django4.1で非推奨、5.0で削除されるため)
• テンプレートの装飾(CSS)はしない。HTMLも必要最小限とする。

構成

まず、メール認証+カスタムユーザーモデルを扱うaccountsアプリを作る

python3 manage.py startapp accounts

config/settings.pyの編集

メール認証+カスタムユーザーモデルのaccountsアプリをインストールしておく。

"""
Django settings for config project.

Generated by 'django-admin startproject' using Django 4.2.7.

For more information on this file, see
https://docs.djangoproject.com/en/4.2/topics/settings/

For the full list of settings and their values, see
https://docs.djangoproject.com/en/4.2/ref/settings/
"""

from pathlib import Path

# Build paths inside the project like this: BASE_DIR / 'subdir'.
BASE_DIR = Path(__file__).resolve().parent.parent


# Quick-start development settings - unsuitable for production
# See https://docs.djangoproject.com/en/4.2/howto/deployment/checklist/

# SECURITY WARNING: keep the secret key used in production secret!
SECRET_KEY = 'django-insecure-4ptbkdjel3*pz$zm_xre0v%68v%lr^er)!3@cknzr$+nvf15^h'

# SECURITY WARNING: don't run with debug turned on in production!
DEBUG = True

ALLOWED_HOSTS = []


# Application definition
INSTALLED_APPS = [
    "bbs.apps.BbsConfig",
    "accounts.apps.AccountsConfig",

    'django.contrib.admin',
    'django.contrib.auth',
    'django.contrib.contenttypes',
    'django.contrib.sessions',
    'django.contrib.messages',
    'django.contrib.staticfiles',
]

# allauthは使用しないので、以下の設定は不要。
"""
AUTHENTICATION_BACKENDS = [
    "django.contrib.auth.backends.ModelBackend",
]
ACCOUNT_AUTHENTICATION_METHOD   = "email"
ACCOUNT_USERNAME_REQUIRED       = False
ACCOUNT_EMAIL_VARIFICATION  = "mandatory"
ACCOUNT_EMAIL_REQUIRED      = True
"""

#DEBUGがTrueのとき、メールの内容は全て端末に表示させる
if DEBUG:
    EMAIL_BACKEND   = "django.core.mail.backends.console.EmailBackend"
else:
    EMAIL_BACKEND       = "sendgrid_backend.SendgridBackend"
    DEFAULT_FROM_EMAIL  = "example@example.com" # Sendgrid送信用のメールアドレス。
    SENDGRID_API_KEY    = "ここにsendgridのAPIkeyを記述する" # 環境変数でも可
    SENDGRID_SANDBOX_MODE_IN_DEBUG = False


LOGIN_REDIRECT_URL  = "/"
LOGOUT_REDIRECT_URL = "login" # urls.pyのnameを参照している。

AUTH_USER_MODEL = 'accounts.CustomUser'
ACCOUNT_FORMS   = { "signup":"accounts.forms.SignupForm"}


MIDDLEWARE = [
    'django.middleware.security.SecurityMiddleware',
    'django.contrib.sessions.middleware.SessionMiddleware',
    'django.middleware.common.CommonMiddleware',
    'django.middleware.csrf.CsrfViewMiddleware',
    'django.contrib.auth.middleware.AuthenticationMiddleware',
    'django.contrib.messages.middleware.MessageMiddleware',
    'django.middleware.clickjacking.XFrameOptionsMiddleware',
]

ROOT_URLCONF = 'config.urls'

TEMPLATES = [
    {
        'BACKEND': 'django.template.backends.django.DjangoTemplates',
        'DIRS': [ BASE_DIR / "templates" ],
        'APP_DIRS': True,
        'OPTIONS': {
            'context_processors': [
                'django.template.context_processors.debug',
                'django.template.context_processors.request',
                'django.contrib.auth.context_processors.auth',
                'django.contrib.messages.context_processors.messages',
            ],
        },
    },
]

WSGI_APPLICATION = 'config.wsgi.application'


# Database
# https://docs.djangoproject.com/en/4.2/ref/settings/#databases

DATABASES = {
    'default': {
        'ENGINE': 'django.db.backends.sqlite3',
        'NAME': BASE_DIR / 'db.sqlite3',
    }
}


# Password validation
# https://docs.djangoproject.com/en/4.2/ref/settings/#auth-password-validators

AUTH_PASSWORD_VALIDATORS = [
    {
        'NAME': 'django.contrib.auth.password_validation.UserAttributeSimilarityValidator',
    },
    {
        'NAME': 'django.contrib.auth.password_validation.MinimumLengthValidator',
    },
    {
        'NAME': 'django.contrib.auth.password_validation.CommonPasswordValidator',
    },
    {
        'NAME': 'django.contrib.auth.password_validation.NumericPasswordValidator',
    },
]


# Internationalization
# https://docs.djangoproject.com/en/4.2/topics/i18n/

LANGUAGE_CODE = 'ja'

TIME_ZONE = 'Asia/Tokyo'

USE_I18N = True

USE_TZ = True


# Static files (CSS, JavaScript, Images)
# https://docs.djangoproject.com/en/4.2/howto/static-files/

STATIC_URL = 'static/'

# Default primary key field type
# https://docs.djangoproject.com/en/4.2/ref/settings/#default-auto-field

DEFAULT_AUTO_FIELD = 'django.db.models.BigAutoField'

わかりやすくするため、allauth用の変数はコメントアウトしている。

SendgridのAPIをハードコードする形になったが、環境変数から読むように仕立ててもよいだろう。

StripeのAPI設定時に環境変数を使用しているので、こちらを参考にすると良い

OSの環境変数の設定方法は下記記事にて。

参照: Ubuntuに環境変数をセットし、Pythonでosモジュールを使って読む方法【os.environ使用、crontabにも対応】

後は、DEFAULT_AUTO_FIELD にてSendgridメール送信時の送信元メールアドレスを指定しておく。

また、もしブラウザを閉じたら、自動でログアウトするようにしたい場合はSESSION_EXPIRE_AT_BROWSER_CLOSEなどを指定すると良いだろう。

【Django】セッションの有効期限をセット、もしくはブラウザを閉じた時にセッションを無効化【settings.py】

カスタムユーザーモデルの実装

まずはカスタムユーザーモデルを実装する。

accounts/models.py

from django.db import models

from django.contrib.auth.models import AbstractBaseUser, PermissionsMixin, UserManager
from django.contrib.auth.validators import UnicodeUsernameValidator

from django.utils import timezone

from django.utils.translation import gettext_lazy as _
from django.core.mail import send_mail

import uuid


#ここ( https://github.com/django/django/blob/main/django/contrib/auth/models.py )から流用
class CustomUser(AbstractBaseUser, PermissionsMixin):

    username_validator  = UnicodeUsernameValidator()

    # 主キーはUUIDとする。
    id          = models.UUIDField( default=uuid.uuid4, primary_key=True, editable=False )
    username    = models.CharField(
                    _('username'),
                    max_length=150,
                    unique=True,
                    help_text=_('Required. 150 characters or fewer. Letters, digits and @/./+/-/_ only.'),
                    validators=[username_validator],
                    error_messages={
                        'unique': _("A user with that username already exists."),
                    },
                )

    first_name  = models.CharField(_('first name'), max_length=150, blank=True)
    last_name   = models.CharField(_('last name'), max_length=150, blank=True)

    # メールアドレスは入力必須でユニークとする
    email       = models.EmailField(_('email address'), unique=True)

    is_staff    = models.BooleanField(
                    _('staff status'),
                    default=False,
                    help_text=_('Designates whether the user can log into this admin site.'),
                )

    is_active   = models.BooleanField(
                    _('active'),
                    default=True,
                    help_text=_(
                        'Designates whether this user should be treated as active. '
                        'Unselect this instead of deleting accounts.'
                    ),
                )
    date_joined = models.DateTimeField(_('date joined'), default=timezone.now)

    objects     = UserManager()

    EMAIL_FIELD = 'email'

    # メールアドレスを使ってログインさせる。(管理ユーザーも)
    #USERNAME_FIELD = 'username'
    USERNAME_FIELD = 'email'

    REQUIRED_FIELDS = [ "username" ]

    class Meta:
        verbose_name = _('user')
        verbose_name_plural = _('users')
        #abstract = True #←このabstractをコメントアウトする

    def clean(self):
        super().clean()
        self.email = self.__class__.objects.normalize_email(self.email)

    def get_full_name(self):
        """
        Return the first_name plus the last_name, with a space in between.
        """
        full_name = '%s %s' % (self.first_name, self.last_name)
        return full_name.strip()

    def get_short_name(self):
        """Return the short name for the user."""
        return self.first_name

    def email_user(self, subject, message, from_email=None, **kwargs):
        """Send an email to this user."""
        send_mail(subject, message, from_email, [self.email], **kwargs)

今回、メールアドレスを使用した認証をデフォルトとしたいので、入力必須とした。そして、USERNAME_FIELDに指定している。

usernameに関しては、そのまま入力必須の状態としている。認証時に使用しないのでオミットしてもよいかもしれないが、usernameフィールドを参照している箇所があるかもしれないので、そのままにした。

accounts/forms.py

from django.contrib.auth.forms import UserCreationForm
from .models import CustomUser

class SignupForm(UserCreationForm):
    class Meta(UserCreationForm.Meta):
        model   = CustomUser
        #fields  = ("username", )
        fields  = ("username","email", )

アカウント新規作成用のフォームを作っている、後述のSignupViewで使用する。

accounts/admin.py

from django.contrib import admin
from django.contrib.auth.admin import UserAdmin
from django.utils.translation import gettext_lazy as _

from .models import CustomUser

class CustomUserAdmin(UserAdmin):

    fieldsets = (
        (None, {'fields': ('username', 'password')}),
        (_('Personal info'), {'fields': ('first_name', 'last_name', 'email')}),
        (_('Permissions'), {'fields': ('is_active', 'is_staff', 'is_superuser', 'groups', 'user_permissions')}),
        (_('Important dates'), {'fields': ('last_login', 'date_joined')}),
    )

    #管理サイトから追加するときのフォーム
    add_fieldsets = (
        (None, {
            'classes': ('wide',),
            'fields': ('username', 'email', 'password1', 'password2'),
        }),
    )

    list_display = ('username', 'email', 'first_name', 'last_name', 'is_staff')
    search_fields = ('username', 'first_name', 'last_name', 'email')

admin.site.register(CustomUser, CustomUserAdmin)

入力を必須化させたemailを新規作成のフォームに追加している。

認証処理の実装

続いて認証処理を実装する。

accounts/views.py

from django.shortcuts import render, redirect
from django.conf import settings
from django.urls import reverse_lazy
from django.http import HttpResponseNotAllowed

from django.views.generic import CreateView
from django.contrib.auth.views import LoginView,LogoutView,PasswordChangeView,PasswordChangeDoneView,PasswordResetView,PasswordResetDoneView,PasswordResetConfirmView,PasswordResetCompleteView


from .forms import SignupForm

class SignupView(CreateView):

    form_class      = SignupForm
    success_url     = reverse_lazy("login")
    template_name   = "registration/signup.html"

    # 認証済みの状態でリクエストした時、LOGIN_REDIRECT_URL へリダイレクトさせる
    def dispatch(self, request, *args, **kwargs):
        if self.request.user.is_authenticated:
            return redirect(settings.LOGIN_REDIRECT_URL)
        return super().dispatch(request, *args, **kwargs)

signup  = SignupView.as_view()

class CustomLoginView(LoginView):

    # 認証済みの状態でリクエストした時、LOGIN_REDIRECT_URL へリダイレクトさせる
    def dispatch(self, request, *args, **kwargs):
        if self.request.user.is_authenticated:
            return redirect(settings.LOGIN_REDIRECT_URL)
        return super().dispatch(request, *args, **kwargs)

login   = CustomLoginView.as_view()

# LogoutViewのGETメソッドを無効化する。(すでにDjango4.1で非推奨。5.0で削除される見通し)
# https://docs.djangoproject.com/ja/4.2/topics/auth/default/#django.contrib.auth.views.LogoutView
class CustomLogoutView(LogoutView):
    def get(self, request, *args, **kwargs):
        return HttpResponseNotAllowed(permitted_methods=['POST'])

logout  = CustomLogoutView.as_view()


password_change             = PasswordChangeView.as_view()
password_change_done        = PasswordChangeDoneView.as_view()
password_reset              = PasswordResetView.as_view()
password_reset_done         = PasswordResetDoneView.as_view()
password_reset_confirm      = PasswordResetConfirmView.as_view()
password_reset_complete     = PasswordResetCompleteView.as_view()

認証済み状態でリクエストをした時、ログイン済みのページにリダイレクトしてくれないので、オーバーライドしている。

LogoutViewのGETメソッドは無効化。

アカウント新規登録用のSignupViewを作った。こちらはDjangoのデフォルトの認証機能にはないので、テンプレートも含めて新しく作る必要がある。

accounts/urls.py

from django.urls import path

from . import views

# ここでapp_nameを指定してしまうと、テンプレート、ビューのすべてのURL逆引きを修正する必要があるため、あえて指定しない
#app_name    = "accounts"
urlpatterns = [ 
    path("signup/", views.signup, name="signup"),

    # 書き方を統一させるため前もってas_view化しておく。(一部オーバーライドしている。)
    path("login/", views.login, name="login"),
    path("logout/", views.logout, name="logout"),
    path("password_change/", views.password_change, name="password_change"),
    path("password_change/done/", views.password_change_done, name="password_change_done"),
    path("password_reset/", views.password_reset, name="password_reset"),
    path("password_reset/done/", views.password_reset_done, name="password_reset_done"),
    path("reset/<uidb64>/<token>/", views.password_reset_confirm, name="password_reset_confirm"),
    path("reset/done/", views.password_reset_complete, name="password_reset_complete"),
]

本来であれば、URL逆引き用の名前に使うapp_nameの指定をしたほうが良い。

しかし、そうすると、全てのテンプレートとビューのURL名を1からオーバーライドしていくことになるので、あえてやらない。

as_view()の返り値を変数に与えて呼び出すようにした。

accounts/signals.py

signals.pyはログイン時、ログアウト時にメール送信をするために実装した。

from django.contrib.auth.signals import user_logged_in, user_logged_out
from django.dispatch import receiver
from django.conf import settings
from django.core.mail import EmailMessage

@receiver(user_logged_in)
def user_logged_in_callback(sender, request, user, **kwargs):
    # ログインをしたときの処理

    #送信元のIPアドレスを手に入れる
    ip_list = request.META.get('HTTP_X_FORWARDED_FOR')
    if ip_list:
        ip  = ip_list.split(',')[0]
    else:
        ip  = request.META.get('REMOTE_ADDR')


    user_agent  = request.META.get('HTTP_USER_AGENT')


    body = "ご利用ありがとうございます。下記端末でログインされました。\n\n"
    body += f"IPアドレス: {ip}\n"
    body += f"ユーザーエージェント: {user_agent}\n\n"

    msg = EmailMessage(
            from_email=settings.DEFAULT_FROM_EMAIL,
            to=[ request.user.email ],
            subject ="セキュリティ通知",
            body=body,
          )

    msg.send(fail_silently=False)

    print(f'{user.username}がログインしました。')

@receiver(user_logged_out)
def user_logged_out_callback(sender, request, user, **kwargs):
    # ログアウトをしたときの処理
    print(f'{user.username}がログアウトしました。')

念の為に、ログインをした端末のUAとIPアドレスをメールで送ることにしている。

このsignals.pyを動かすため、apps.pyに登録をする。

accounts/apps.py

from django.apps import AppConfig

class AccountsConfig(AppConfig):
    default_auto_field = 'django.db.models.BigAutoField'
    name = 'accounts'

    def ready(self):
        import accounts.signals

signals.pyを扱えるようにする。

templates/accounts/ 以下 テンプレート構成

以下のテンプレートを作っておく。

パスワードリセットのテンプレートは多いが、

1. templates/registration/password_reset_form.html
2. templates/registration/password_reset_done.html
3. templates/registration/password_reset_confirm.html
4. templates/registration/password_reset_complete.html

この順番で使用されている。

まず、パスワードのリセットをしたいメールアドレスを指定する。指定したメールアドレスへメールが届く。

メールにはリンクが書かれてあり、そのリンクへアクセスすると、新しいパスワードを設定することができる。

このテンプレートを全てをここに書くには長過ぎるので略する。ソースコードを参照。

https://github.com/seiya0723/django-auth/tree/main/templates/registration

結論

これでDjango-allauthをDjangoプロジェクトから切り離すことができた。

デフォルトの認証機能を使うほうが、allauthの仕様変更に右往左往されなくて済むだろう。

後は、適度に装飾を施すだけ。

ソースコード

メール認証+カスタムユーザーモデル実装と、とても複雑になっているため、下記ソースコードをもとによく確認しておく。

https://github.com/seiya0723/django-auth