概要

django-axesを使うとDjangoペースで不審なログインや不正なアクセスを防ぐライブラリを使ってアカウントのロック機能を気軽に実装できるので実装方法について解説します

前提

Djangoのプロジェクトを作成済み
ログインAPIを作成済み

ディレクトリ構成

tree
・
├── .gitignore
├── README.md
├── application
│   ├── application
│   │   ├── __init__.py
│   │   ├── admin.py
│   │   ├── apps.py
│   │   ├── fixtures
│   │   │   └── fixture.json
│   │   ├── migrations
│   │   │   ├── __init__.py
│   │   │   └── 0001_initial.py
│   │   ├── models.py
│   │   ├── serializers.py
│   │   ├── utils
│   │   │   └── signals.py
│   │   ├── urls.py
│   │   └── views.py
│   ├── manage.py
│   ├── poetry.lock
│   ├── project
│   │   ├── __init__.py
│   │   ├── asgi.py
│   │   ├── settings.py
│   │   ├── urls.py
│   │   └── wsgi.py
│   └── pyproject.toml
└── docker-compose.yml

初期設定

django-axesをインストールします

pip install django-axes

settings.pyにaxesの設定を追加します

settings.py

INSTALLED_APPS = [
    'django.contrib.admin',
    'django.contrib.auth',
    'django.contrib.contenttypes',
    'django.contrib.sessions',
    'django.contrib.messages',
    'django.contrib.staticfiles',
    # axesを追加
    'axes',
]


AUTHENTICATION_BACKENDS = [
    # AxesStandaloneBackendをAUTHENTICATION_BACKENDSのリストの先頭に記載する必要があります
    'axes.backends.AxesStandaloneBackend',
    # 今回はDjangoでデフォルトで設定されているModelBackendを認証で使用します
    'django.contrib.auth.backends.ModelBackend',
]

MIDDLEWARE = [
    # Djangoで使用されるデフォルトのミドルウェア
    'django.middleware.security.SecurityMiddleware',
    'django.contrib.sessions.middleware.SessionMiddleware',
    'django.middleware.common.CommonMiddleware',
    'django.middleware.csrf.CsrfViewMiddleware',
    'django.contrib.auth.middleware.AuthenticationMiddleware',
    'django.contrib.messages.middleware.MessageMiddleware',
    'django.middleware.clickjacking.XFrameOptionsMiddleware',
    # AxesMiddlewareをMIDDLEWAREの配列の一番最後に記載する必要があります
    'axes.middleware.AxesMiddleware',
]

# ロックされるまでのログイン回数
AXES_FAILURE_LIMIT = 6
# 自動でロックが解除されるまでの時間
AXES_COOLOFF_TIME = 0.5
# ロック対象をusernameで判断する
AXES_LOCKOUT_PARAMETERS = ["username"]
# ログインに成功したら失敗回数をリセットされるようにする
AXES_RESET_ON_SUCCESS = True
# アクセスログをデータベースに書き込まないようにする
AXES_DISABLE_ACCESS_LOG = True
# ロックアウト中にログインに失敗した場合、クールオフ期間をリセットしないようにする
AXES_RESET_COOL_OFF_ON_FAILURE_DURING_LOCKOUT = False

以上の設定をDBに反映するために以下のコマンドでマイグレーションを実行します

python manage.py migrate

実装

以下のファイルを実装します

signals.py
apps.py

シグナルの作成

以下のようにrecieverを使って6回ログインに失敗したら(user_locked_outのSignalを受け取ったら)403を返すよう設定します

signals.py

from axes.signals import user_locked_out
from django.dispatch import receiver
from rest_framework.exceptions import PermissionDenied


@receiver(user_locked_out)
def user_locked(*args, **kwargs):
    raise PermissionDenied("ご利用のアカウントは凍結されています。しばらく経ってからログインしてください")

apps.pyにシグナルを設定

先ほど作成したsignalを使用できるようAppConfigに設定します

apps.py

from django.apps import AppConfig


class ApplicationConfig(AppConfig):
    default_auto_field = "django.db.models.BigAutoField"
    name = "application"

    def ready(self):
        from application.utils import signals

django.apps.config.pyをオーバーライドすることでDjangoが起動した瞬間、signalsがimportされます

django.apps.config.py

    def ready(self):
        """
        Override this method in subclasses to run code when Django starts.
        """

実際に操作してみよう！

間違ったパスワードを入力してログインAPIを実行します

django=# SELECT * FROM axes_accessattempt;
 id |                                                      user_agent                                                       |  ip_address  | username |   http_accept    | path_info  |         attempt_time  
        | get_data | post_data | failures_since_start 
----+-----------------------------------------------------------------------------------------------------------------------+--------------+----------+------------------+------------+-----------------------
--------+----------+-----------+----------------------
  1 | Mozilla/5.0 (Macintosh; Intel Mac OS X 10_15_7) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/120.0.0.0 Safari/537.36 | 192.168.65.1 | 00000001 | application/json | /api/login | 2024-01-23 08:28:28.55
5871+00 |          |           |                    1
(1 row)

6回以上ログインに失敗して以下のようにエラーメッセージが出たら成功です

また、ログインに失敗して5回目以内にログインに成功したら以下のようにaxes_accessattempt内に失敗した時のログがないことを確認できました


django=# SELECT * FROM axes_accessattempt;
 id | user_agent | ip_address | username | http_accept | path_info | attempt_time | get_data | post_data | failures_since_start 
----+------------+------------+----------+-------------+-----------+--------------+----------+-----------+----------------------
(0 rows)

参考