Как аутентифицироваться по базе данных пользователей Django из Apache

Поскольку синхронизация нескольких баз аутентификации — распространённая проблема при работе с Apache, можно настроить Apache на прямую аутентификацию по базе данных пользователей Django. Для этого требуется версия Apache >= 2.2 и mod_wsgi >= 2.0. Например, можно:

• Обеспечивать прямой доступ к статическим файлам/media только аутентифицированным пользователям.
• Аутентифицировать доступ к репозиторию Subversion по пользователям Django с определёнными правами.
• Разрешить определённым пользователям подключение к ресурсам WebDAV, созданным с помощью mod_dav.

Аутентификация с mod_wsgi

Убедитесь, что mod_wsgi установлен и активирован, и что вы выполнили шаги по настройке Apache с mod_wsgi.

Далее отредактируйте конфигурацию Apache, чтобы добавить местоположение, к которому должен быть доступ ограничен только аутентифицированным пользователям:

WSGIScriptAlias / /path/to/mysite.com/mysite/wsgi.py
WSGIPythonPath /path/to/mysite.com

WSGIProcessGroup %{GLOBAL}
WSGIApplicationGroup %{GLOBAL}

<Location "/secret">
    AuthType Basic
    AuthName "Top Secret"
    Require valid-user
    AuthBasicProvider wsgi
    WSGIAuthUserScript /path/to/mysite.com/mysite/wsgi.py
</Location>

Директива WSGIAuthUserScript сообщает mod_wsgi о выполнении функции check_password в указанном скрипте wsgi, передавая имя и пароль пользователя, полученные с приглашения. В этом примере WSGIAuthUserScript соответствует WSGIScriptAlias, определяющему ваше приложение созданное с помощью django-admin startproject.

LoadModule auth_basic_module modules/mod_auth_basic.so
LoadModule authz_user_module modules/mod_authz_user.so

Наконец, отредактируйте свой скрипт WSGI mysite.wsgi, чтобы связать аутентификацию Apache с механизмами аутентификации вашего сайта, импортировав функцию check_password:

import os

os.environ["DJANGO_SETTINGS_MODULE"] = "mysite.settings"

from django.contrib.auth.handlers.modwsgi import check_password

from django.core.handlers.wsgi import WSGIHandler

application = WSGIHandler()

Запросы, начинающиеся с /secret/, теперь будут требовать аутентификации пользователя.

Документация mod_wsgi по механизмам контроля доступа предоставляет дополнительные сведения и информацию об альтернативных методах аутентификации.

Авторизация с mod_wsgi и группами Django

mod_wsgi также предоставляет возможность ограничить доступ к определенному местоположению членами группы.

В этом случае конфигурация Apache должна выглядеть следующим образом:

WSGIScriptAlias / /path/to/mysite.com/mysite/wsgi.py

WSGIProcessGroup %{GLOBAL}
WSGIApplicationGroup %{GLOBAL}

<Location "/secret">
    AuthType Basic
    AuthName "Top Secret"
    AuthBasicProvider wsgi
    WSGIAuthUserScript /path/to/mysite.com/mysite/wsgi.py
    WSGIAuthGroupScript /path/to/mysite.com/mysite/wsgi.py
    Require group secret-agents
    Require valid-user
</Location>

Для поддержки директивы WSGIAuthGroupScript, тот же скрипт WSGI mysite.wsgi также должен импортировать функцию groups_for_user, которая возвращает список групп, к которым принадлежит данный пользователь.

from django.contrib.auth.handlers.modwsgi import check_password, groups_for_user

Запросы к /secret/ теперь также будут требовать, чтобы пользователь был членом группы «secret-agents».