Aplicación de requisitos de fuerza de contraseñas con django.contrib.auth.views.password_change

Question

Tenemos una aplicación Django que requiere un nivel específico de complejidad de contraseñas. Actualmente hacemos cumplir esto a través del JavaScript del lado del cliente que puede ser derrotado fácilmente por alguien que esté debidamente motivado.

Parece que no puedo encontrar ninguna información específica sobre la configuración de la validación de la seguridad de contraseñas del lado del servidor utilizando django contrib incorporado en las vistas. Antes de continuar con la reinvención de la rueda, ¿hay una forma adecuada de manejar este requisito?

Answer 1

También fui con un formulario personalizado para esto. En urls.py especificar su formulario personalizado:

(r'^change_password/$', 'django.contrib.auth.views.password_change', 
    {'password_change_form': ValidatingPasswordChangeForm}), 

Heredar del PasswordChangeForm e implementar la validación:

from django import forms 
from django.contrib import auth 

class ValidatingPasswordChangeForm(auth.forms.PasswordChangeForm): 
    MIN_LENGTH = 8 

    def clean_new_password1(self): 
     password1 = self.cleaned_data.get('new_password1') 

     # At least MIN_LENGTH long 
     if len(password1) < self.MIN_LENGTH: 
      raise forms.ValidationError("The new password must be at least %d characters long." % self.MIN_LENGTH) 

     # At least one letter and one non-letter 
     first_isalpha = password1[0].isalpha() 
     if all(c.isalpha() == first_isalpha for c in password1): 
      raise forms.ValidationError("The new password must contain at least one letter and at least one digit or" \ 
             " punctuation character.") 

     # ... any other validation you want ... 

     return password1 

Answer 2

Creo que deberías simplemente escribir tu propio validador (o usar RegexValidator, ver: http://docs.djangoproject.com/en/dev/ref/validators/) si usas formularios o escribes algún otro script verificando expresiones regulares. Esto debería ser una tarea simple. Además, no creo que haya ningún mecanismo incorporado, simplemente porque cada persona entiende el concepto de "contraseña segura" un poco diferente.

Answer 3

que acababa de instalar Django contraseñas y dejar que lo hagan por ti: https://github.com/dstufft/django-passwords

Después que simplemente puede subclase el formulario de registro y reemplazar el campo con un campo de contraseña.

Answer 4

Como algunos eludió con los validadores personalizados, aquí está el enfoque me gustaría tener ...

Crear un validador:

from django.core.exceptions import ValidationError 
from django.utils.translation import ugettext as _ 

def validate_password_strength(value): 
    """Validates that a password is as least 7 characters long and has at least 
    1 digit and 1 letter. 
    """ 
    min_length = 7 

    if len(value) < min_length: 
     raise ValidationError(_('Password must be at least {0} characters ' 
           'long.').format(min_length)) 

    # check for digit 
    if not any(char.isdigit() for char in value): 
     raise ValidationError(_('Password must contain at least 1 digit.')) 

    # check for letter 
    if not any(char.isalpha() for char in value): 
     raise ValidationError(_('Password must contain at least 1 letter.')) 

continuación, agregue el validador para el campo de formulario que está mirando para validar:

from django.contrib.auth.forms import SetPasswordForm 

class MySetPasswordForm(SetPasswordForm): 

    def __init__(self, *args, **kwargs): 
     super(MySetPasswordForm, self).__init__(*args, **kwargs) 
     self.fields['new_password1'].validators.append(validate_password_strength) 

Answer 5

Django 1.9 ofrece un sistema incorporado en password validation para ayudar a prevenir el uso de contraseñas débiles por los usuarios. Se habilita modificando la configuración AUTH_PASSWORD_VALIDATORS en nuestro proyecto. Por defecto viene con Django siguientes validadores:

• UserAttributeSimilarityValidator, que comprueba la similitud entre la contraseña y un conjunto de atributos de usuario.
• MinimumLengthValidator, que simplemente comprueba si la contraseña cumple con una longitud mínima. Este validador está configurado con una opción personalizada de : ahora requiere que la longitud mínima sea de nueve caracteres, en lugar de los ocho predeterminados.
• CommonPasswordValidator, que comprueba si la contraseña se produce en una lista de contraseñas comunes. Por por defecto, se compara con una lista incluida de 1000 contraseñas comunes.
• NumericPasswordValidator, que verifica si la contraseña no es completamente numérica.

Este ejemplo permite a los cuatro incluidos los validadores:

AUTH_PASSWORD_VALIDATORS = [ 
    { 
     'NAME': 'django.contrib.auth.password_validation.UserAttributeSimilarityValidator', 
    }, 
    { 
     'NAME': 'django.contrib.auth.password_validation.MinimumLengthValidator', 
     'OPTIONS': { 
      'min_length': 9, 
     } 
    }, 
    { 
     'NAME': 'django.contrib.auth.password_validation.CommonPasswordValidator', 
    }, 
    { 
     'NAME': 'django.contrib.auth.password_validation.NumericPasswordValidator', 
    }, 
]