前言搭建Django后台、用户登录系统时几乎所有人都会遇到同一个问题用户密码如何存储不少新手直接使用MD5、SHA256简单哈希或者自己手写加盐逻辑上线后埋下严重安全隐患。Django本身内置完善的密码认证体系但很多开发者不理解底层原理随意替换加密算法造成安全降级、密码迁移、前后端兼容等一系列问题。本文围绕Django登录、用户密码存储场景讲清楚各类哈希算法优劣、Django原生机制、最佳实践、避坑要点附带可直接落地的配置代码。适用范围Django3.2 / 4.2 / 5.xWeb后台登录、API接口登录、Admin后台用户体系。一、先理清核心原则登录密码不能用什么❌ 绝对不推荐MD5已被破解存在大量彩虹表仅适合文件校验严禁存储密码。SHA1 / SHA256 / SHA512单纯哈希、固定加盐属于快速哈希算法GPU可以暴力穷举。哪怕自定义salt迭代次数只有1次抵御暴力破解能力极差。自己手写加盐SHA容易出现编码错误、salt管理混乱、迭代次数不足、随机盐丢失等问题安全性远低于成熟算法。✅ 适合密码存储的算法特征密码哈希算法必须满足慢速哈希计算耗时可控大幅降低暴力破解速度自动随机盐每条密码使用独立随机盐防止彩虹表批量破解可配置迭代次数硬件性能提升后可以调高迭代轮数输出字符串自带算法标识、盐、迭代参数方便后续升级迁移。二、Django 内置支持哪些密码算法Djangodjango.contrib.auth原生支持多种密码哈希器配置项位于settings.py的PASSWORD_HASHERS。默认优先级顺序Django4.x/5.xPASSWORD_HASHERS[django.contrib.auth.hashers.Argon2PasswordHasher,django.contrib.auth.hashers.PBKDF2PasswordHasher,django.contrib.auth.hashers.PBKDF2SHA1PasswordHasher,django.contrib.auth.hashers.BCryptSHA256PasswordHasher,django.contrib.auth.hashers.ScryptPasswordHasher,]逐个解读Argon2PasswordHasher首选推荐Argon2 是密码哈希竞赛获胜算法抵抗GPU、ASIC暴力破解能力最强内存开销高很难大规模并行爆破。PBKDF2PasswordHasherDjango历史默认方案兼容性最强基于HMAC-SHA256稳定、部署无额外依赖服务器资源紧张场景首选。BCryptSHA256PasswordHasher经典老牌算法注意原生bcrypt存在72字节长度限制Django封装版先sha256预处理规避限制。ScryptPasswordHasher和Argon2思路类似高内存消耗适合硬件资源充足服务器。重点Django不会简单保存哈希字符串数据库存储格式示例argon2$v19$m102400,t8,p2$xxxx随机盐$xxxx摘要字符串内置算法版本、内存参数、迭代次数、并行度、随机盐、哈希结果后期平滑升级无需迁移旧密码。三、方案选型对比Django登录场景算法安全性依赖服务器资源消耗适用场景Argon2⭐⭐⭐⭐⭐需要安装argon2-cffi中等偏高新项目首选服务器CPU内存充足PBKDF2(SHA256)⭐⭐⭐⭐无第三方依赖Python内置较低老旧服务器、容器资源受限、不想额外安装包BCryptSHA256⭐⭐⭐⭐需要bcrypt库中等老项目迁移团队熟悉bcryptScrypt⭐⭐⭐⭐⭐需要scrypt库高硬件富余对安全要求极高的内部系统SHA256自定义加盐⭐无依赖极低禁止用于密码存储四、落地配置教程方案1新项目首选 Argon2安装依赖pipinstallargon2-cffisettings.py 配置将Argon2放在第一位新建用户默认使用首位哈希器PASSWORD_HASHERS[django.contrib.auth.hashers.Argon2PasswordHasher,django.contrib.auth.hashers.PBKDF2PasswordHasherher,django.contrib.auth.hashers.PBKDF2SHA1PasswordHasher,django.contrib.auth.hashers.BCryptSHA256PasswordHasher,]# 可选调整Argon2参数内存、迭代次数越高越安全、越耗CPU# 一般默认参数足够业务使用不要盲目调太高引发接口超时方案2不想安装第三方库使用 PBKDF2零依赖无需额外安装包直接配置PASSWORD_HASHERS[django.contrib.auth.hashers.PBKDF2PasswordHasher,django.contrib.auth.hashers.Argon2PasswordHasher,django.contrib.auth.hashers.BCryptSHA256PasswordHasher,]五、Django 密码自动升级机制非常重要很多人不知道Django自带密码平滑升级能力当系统PASSWORD_HASHERS首位算法更新后用户登录时使用旧算法校验密码校验成功后自动使用新算法重新哈希更新数据库password字段无需一次性批量迁移全部历史数据用户登录时渐进升级。这是自研哈希方案很难实现的优势。六、在Django视图/API中手动校验密码前后端分离场景如果你使用前后端分离不依赖LoginView手动实现登录逻辑fromdjango.contrib.authimportauthenticatefromdjango.contrib.auth.hashersimportmake_password,check_passwordfromdjango.httpimportJsonResponsedeflogin_api(request):ifrequest.methodPOST:usernamerequest.POST.get(username)passwordrequest.POST.get(password)# 方式1标准authenticate推荐兼容User模型、自动哈希校验userauthenticate(usernameusername,passwordpassword)ifuser:# 登录成功生成session或tokenreturnJsonResponse({code:0,msg:登录成功})else:returnJsonResponse({code:-1,msg:账号或密码错误})手动生成密码创建用户、重置密码场景fromdjango.contrib.auth.hashersimportmake_password raw_pwd123456pwd_hashmake_password(raw_pwd)print(pwd_hash)# 直接存入User.password字段手动校验密码已有hash字符串场景fromdjango.contrib.auth.hashersimportcheck_password okcheck_password(原始密码,db_password_hash)⚠️ 禁止做法不要自己拼接盐密码调用hashlib.sha256不要覆盖make_password底层逻辑。七、配套安全策略光选加密算法远远不够开启密码复杂度校验# settings.pyAUTH_PASSWORD_VALIDATORS[{NAME:django.contrib.auth.password_validation.UserAttributeSimilarityValidator,},{NAME:django.contrib.auth.password_validation.MinimumLengthValidator,OPTIONS:{min_length:8,}},{NAME:django.contrib.auth.password_validation.CommonPasswordValidator,},{NAME:django.contrib.auth.password_validation.NumericPasswordValidator,},]登录接口限流防止暴力猜密码结合django-ratelimit或者自定义限流限制同一IP短时间登录失败次数。HTTPS 强制开启原始密码在网络明文传输哈希再安全也无意义。不要在日志打印原始密码、不要传输明文哈希给前端。八、高频踩坑清单坑1混淆「数据签名哈希」和「密码哈希」接口签名、文件校验可以用SHA256用户登录密码不能直接SHA256两者设计目标完全不同。坑2前后端分离项目前端先加密再传给后端❌ 错误思路前端SHA256加密密码传到后端攻击者抓包拿到哈希值即可直接使用哈希登录等同于明文。✅ 正确前端传递原始密码HTTPS后端做哈希处理。坑3随意更换PASSWORD_HASHERS顺序旧用户无法登录不要直接删除旧哈希器只能把新算法放最前面旧算法保留在列表用于兼容历史密码。坑4自行存储盐字段Django哈希字符串内置随机盐不需要单独建字段保存salt不要重复造轮子。坑5Argon2安装失败部分国内环境pip安装argon2-cffi容易出错资源受限服务器直接选用PBKDF2规避依赖问题。九、新旧系统迁移方案如果老项目密码使用MD5/SHA256存储在PASSWORD_HASHERS末尾添加自定义哈希器兼容旧密码用户登录校验通过后自动用新算法重写密码等待大部分用户完成登录迁移下线旧算法。总结Django登录密码存储优先选用Argon2服务器无法安装依赖选择PBKDF2SHA256绝对不要手写SHA256固定盐用于用户密码优先使用Django内置make_password、check_password、authenticate不要重复造轮子利用Django原生哈希器特性实现密码平滑升级密码哈希只是安全一环必须配套HTTPS、登录限流、密码复杂度策略。只要遵循这套方案不管是Django Admin后台、传统模板登录还是前后端分离JWT登录都可以满足企业级安全标准。