Cara excelente pergunta!
Vamos lá, segundo a documentação do Django:
Existem 4 views para o reset de password:
# - password_reset envia o email
# - password_reset_done mostra uma mensagem de sucesso para o envio do email
# - password_reset_confirm checa a url e pergunta por uma nova senha
# - password_reset_complete mostra uma mensagem de sucesso para todo o processo
As views password_reset e password_reset_confirm utilizam a mesma classe para gerar e conferir o token. django.contrib.auth.tokens.default_token_generator
.
1. Como ele é gerado e verificado?
Olhando no link da documentação é possível reparar que o django utiliza a seguinte classe para a geração do token from django.contrib.auth.tokens.default_token_generator
.
Buscando por essa classe no projeto do github é possível verificar que o token é gerado de acordo com o usuário e o timestamp.
Removendo os comentários do código se tem:
def make_token(self, user):
return self._make_token_with_timestamp(user, self._num_days(self._today()))
def _make_token_with_timestamp(self, user, timestamp):
ts_b36 = int_to_base36(timestamp)
hash = salted_hmac(
self.key_salt,
self._make_hash_value(user, timestamp),
).hexdigest()[::2]
return "%s-%s" % (ts_b36, hash)
def _make_hash_value(self, user, timestamp):
login_timestamp = '' if user.last_login is None else user.last_login.replace(microsecond=0, tzinfo=None)
return (
six.text_type(user.pk) + user.password +
six.text_type(login_timestamp) + six.text_type(timestamp)
)
Verificando esse código e o que está no github (não irei incluir tudo pois acredito ser desnecessário) nós podemos concluir que o token formado é gerado a partir do timestamp+"-"+hash
Onde:
#timestamp = conversao numero de dias desde 01/01/2001 para a base 36.
#hash = user.pk + user.password + user.last_login + timestamp
O fato do código utilizar six.text_type
se deve ao fato de que foi definido um padrão de str
para o Python3 e unicode
para as outras versões, como se pode ver no próprio código da classe six
.
if PY3:
string_types = str,
integer_types = int,
class_types = type,
text_type = str
binary_type = bytes
MAXSIZE = sys.maxsize
else:
string_types = basestring,
integer_types = (int, long)
class_types = (type, types.ClassType)
text_type = unicode
binary_type = str
2. O token é persistido no banco de dados e vinculado ao usuário, ou é gerado apenas uma hash da id ?
Como é possível verificar no código do projeto, o token não é persistido e sim gerado e confirmado no momento de acesso. Como demonstrado na primeira questão.
3. Utilizando este metodo pode ser gerado tokens para outras utilidades, como por exemplo para ativar uma conta?
Sim, você pode aproveitar a classe django.contrib.auth.tokens.default_token_generator
para poder fazer a geração e validação do token, mas terá que implementar as suas próprias views.