Perché la password del mio modello utente Django non è stata eseguita?

Question

Sto utilizzando il Django REST Framework (DRF) per creare un endpoint con cui posso registrare nuovi utenti. Tuttavia, quando raggiungo l'endpoint di creazione con un POST, il nuovo utente viene salvato tramite un serializzatore, ma la password viene salvata in chiaro nel database. Il codice per la mia serializer è la seguente:

from django.contrib.auth import get_user_model 
from rest_framework import serializers 

class UserSerializer(serializers.ModelSerializer): 

    class Meta: 
     model = get_user_model() 
     fields = ['password', 'username', 'first_name', 'last_name', 'email'] 
     read_only_fields = ['is_staff', 'is_superuser'] 
     write_only_fields = ['password'] 

Si prega di notare che io sto usando il modello utente predefinito dal pacchetto auth Django, e che io sono molto nuovo a lavorare con DRF! Inoltre, ho trovato this question che fornisce una soluzione, ma questo sembra richiedere due interazioni di database - non credo che questo sia efficiente, ma potrebbe essere un'ipotesi errata da parte mia.

Answer 1

La questione è DRF semplicemente impostare i valori dei campi sul modello. Pertanto, la password è impostata sul campo della password e salvata nel database. Ma per impostare correttamente una password, è necessario chiamare il metodo set_password(), che eseguirà l'hashing.

Ci sono diversi modi per farlo, ma il modo migliore su rest framework v3 è di ignorare i metodi update() e create() sul Serializer.

class UserSerializer(serializers.ModelSerializer): 
    # <Your other UserSerializer stuff here> 

    def create(self, validated_data): 
     password = validated_data.pop('password', None) 
     instance = self.Meta.model(**validated_data) 
     if password is not None: 
      instance.set_password(password) 
     instance.save() 
     return instance 

    def update(self, instance, validated_data): 
     for attr, value in validated_data.items(): 
      if attr == 'password': 
       instance.set_password(value) 
      else: 
       setattr(instance, attr, value) 
     instance.save() 
     return instance 

Due cose qui:

1. noi utenti self.Meta.model, quindi se il modello viene modificato sul serializer, funziona ancora (fintanto che ha un metodo ovviamente set_password ).
2. iteriamo su validated_data articoli e non i campi, per giustificare facoltativamente exclude campi.

Inoltre, questa versione di create non salva le relazioni M2M. Non necessario nel tuo esempio, ma potrebbe essere aggiunto se necessario. Avresti bisogno di scoppiare quelli dal ditt, salvare il modello e impostarli in seguito.

Answer 2

semplicemente ignorare il create and update methods del serializzatore:

def create(self, validated_data): 
     user = get_user_model(**validated_data) 
     user.set_password(validated_data['password']) 
     user.save() 
     return user 

    def update(self, instance, validated_data): 
     for f in UserSerializer.Meta.fields + UserSerializer.Meta.write_only_fields: 
      set_attr(instance, f, validated_data[f]) 
     instance.set_password(validated_data['password']) 
     instance.save() 
     return instance