#はじめに
本稿ではDjangoで構築したサーバに以下の最低限のセキュリティ対策を行う手順を解説します。(DjangoでWebアプリケーション構築済である前提とします。)

ログイン認証の追加
SSL対応 (記事作成中)

#ログイン用アプリケーションの作成
まずプロジェクト配下でログイン機能用のアプリケーションを作成する。

$ python manage.py startapp accounts

アプリケーション作成後のプロジェクト構成は以下。

sample_project
├── accounts <- ログイン用アプリケーション
│   ├── __init__.py
│   ├── admin.py
│   ├── apps.py
│   ├── migrations
│   │   └── __init__.py
│   ├── models.py
│   ├── urls.py
│   └── views.py
├── sample_app <- 固有アプリケーション
│   ├── __init__.py
│   ├── admin.py
│   ├── apps.py
│   ├── migrations
│   │   └── __init__.py
│   ├── models.py
│   ├── templates
│   │   └── index.html
│   ├── urls.py
│   └── views.py
├── config
│   ├── __init__.py
│   ├── settings.py
│   ├── urls.py
│   └── wsgi.py
└── manage.py

プロジェクト配下のsetting.pyとurls.pyにログイン用アプリケーション用の設定を追記。

setting.py

INSTALLED_APPS = [
    'django.contrib.admin',
    'django.contrib.auth',
    'django.contrib.contenttypes',
    'django.contrib.sessions',
    'django.contrib.messages',
    'django.contrib.staticfiles',
    'sample_app.apps.SampleAppConfig', # Custom App
    'accounts.apps.AccountsConfig',    # 追加
]

config/urls.py

urlpatterns = [
    path('admin/', admin.site.urls),
    path('sample_app/', include('sample_app.urls')), # Custom App
    path('', include('accounts.urls')),              # 追加 ログイン用
]

#ログイン用フォーム、ビュー、テンプレートの作成
以下、ログイン画面の部品をそれぞれ作成する。

ログイン用フォームの定義：forms.py
ログイン用ビューの定義：view.py
ログイン画面用テンプレート：login.html

フォームの定義はDjango標準クラスのAuthenticationFormを用いる。

forms.py

from django.contrib.auth.forms import AuthenticationForm

class LoginForm(AuthenticationForm):
    """ログインフォーム"""
    def __init__(self, *args, **kwargs):
        super().__init__(*args, **kwargs)
        for field in self.fields.values():
            field.widget.attrs['class'] = 'form-control'
            field.widget.attrs['placeholder'] = field.label

importしているクラスは以下。

クラス名	機能
LoginRequiredMixin	ログインしたユーザだけ閲覧できるようにする
LoginView	ログイン機能
LogoutView	ログアウト機能
LogoutForm	上記で定義したログイン用フォーム

view.py

from django.contrib.auth.mixins import LoginRequiredMixin
from django.contrib.auth.views import(LoginView, LogoutView)
from .forms import LoginForm

class Login(LoginView):
    """ログインページ"""
    form_class = LoginForm
    template_name = 'login.html'


class Logout(LoginRequiredMixin, LogoutView):
    """ログアウトページ"""
    template_name = 'login.html'

login.html

<!DOCTYPE html>
<html>
<head>
    <meta charset="utf-8" />
    <title>LOGIN</title>
    <meta name="viewport" content="width=device-width, initial-scale=1">
</head>
<body>
    <form action="" method="POST">
        {% csrf_token %}
        {% for field in form %}
            {{ field }}
        {% endfor %}
        {% for error in form.non_field_errors %}
            {{ error }}
        {% endfor %}
        <button type="submit">ログイン</button>
    </form>
</body>
</html>

フォーム、ビュー、テンプレート追加後のプロジェクト構成は以下。

sample_project
├── accounts <- ログイン用アプリケーション
│   ├── __init__.py
│   ├── admin.py
│   ├── apps.py
│   ├── forms.py
│   ├── migrations
│   │   └── __init__.py
│   ├── models.py
│   ├── templates
│   │   └── login.html
│   ├── urls.py
│   └── views.py
├── sample_app <- 固有アプリケーション
│   ├── __init__.py
│   ├── admin.py
│   ├── apps.py
│   ├── migrations
│   │   └── __init__.py
│   ├── models.py
│   ├── templates
│   │   └── index.html
│   ├── urls.py
│   └── views.py
├── config
│   ├── __init__.py
│   ├── settings.py
│   ├── urls.py
│   └── wsgi.py
└── manage.py

ログイン用アプリケーションのurls.pyにURLとビューの紐づけを追記する。

accounts/urls.py

urlpatterns =[
    path('login/', views.Login.as_view(), name='login'),
]

#リダイレクトURLの設定
setting.pyに未ログイン時に表示されるURL、ログイン・ログアウト時のリダイレクトURLを設定する。

setting.py

LOGIN_URL = '/login' # ログインしていないときのリダイレクト先
LOGIN_REDIRECT_URL = '/sample_app/index' # ログイン後のリダイレクト先
LOGOUT_REDIRECT_URL = '/login' # ログアウト後のリダイレクト先

ログイン認証を追加するアプリケーションの設定

ログイン先のアプリケーションのビューにログイン必須設定を行う。
クラスベースのビューの場合、LoginRequiredMixinをimportして継承することでログイン必須となる。

sample_app/view.py

from django.contrib.auth.mixins import LoginRequiredMixin

class Test(LoginRequiredMixin, TemplateView):
    template_name = 'index.html'

メソッドベースのビューの場合、@login_requiredのアノテーションを付与することでログイン必須となる。

from django.shortcuts import render
from django.contrib.auth.decorators import login_required
 
@login_required 
def index(request):
    return render(request, 'index.html')

#ユーザーの作成
プロジェクト配下でユーザーを作成する。

$ python manage.py createsuperuser

#テスト
これでアプリケーションを起動してログインURLにアクセスするとログインフォームが表示されるはずなので、作成したユーザーのID/Passでログインできればログイン認証成功です。