Может ли кто-нибудь показать мне, как сделать правильную систему входа для моего django приложения?

Перед созданием сеанса необходимо убедиться, что у вас есть объект пользователя.

Кроме того, необходимо правильно проверить пароль, не повторяя его без необходимости.

Я также вижу, что вы используете имя поля password в форме, но в представлении вы пытаетесь получить его с помощью password_hash. Это приведет к получению пустого хэша пароля, поэтому вход в систему будет неудачным.

Вы можете обновить свой вид логина следующим образом:

import hashlib
import random
import string
from django.shortcuts import render, redirect
from django.http import HttpResponse
from .models import User, Session

def login(request):
    if request.method == "POST":
        email = request.POST.get('email')
        password = request.POST.get('password')

        user = User.objects.filter(email=email).first()
        if user and user.check_password(password):
            token = ''.join(random.choice(string.ascii_letters) for _ in range(32))
            session = Session.objects.create(user=user, token=token)
            response = redirect("/")
            response.set_cookie('token', token)
            return response
        return HttpResponse("Invalid email or password")

    return render(request, "destination/login.html")

И обновление check_password метода в моделях:

class User(models.Model):
    # Fields...

    def check_password(self, password):
        hasher = hashlib.sha256()
        hasher.update(bytes(password, "UTF-8"))
        return self.password_hash == hasher.hexdigest()

И наконец, чтобы отобразить только направления от вошедшего пользователя, вам нужно получить пользователя из токена, хранящегося в cookie. Вот представление для отображения пунктов назначения:

def user_destinations(request):
    token = request.COOKIES.get('token')
    if token:
        session = Session.objects.filter(token=token).first()
        if session:
            destinations = session.user.destinations.all()
            return render(request, "destination/user_destinations.html", {"destinations": destinations})
    return redirect("/login")

Ну, proper логин - это относительно. Сам фреймворк уже имеет систему proper логина из коробки, хотя и session. Существует множество различных видов систем аутентификации. Тем не менее, судя по вашему вопросу, вы спрашиваете об аутентификации с помощью Tokens, которая часто используется в API-сервисах. Существует два стандарта: обычная Token Authentication или JWT - JSON Web Token Authentication

Обычно разработчик не тратит время на такие вещи. Для этого и существуют библиотеки. Всегда лучше полагаться на такие пакеты, чем реализовывать их самостоятельно, не только для гибкости, но и для безопасности.

Относительно User модели, вы работаете против фреймворка, тем самым мешая себе. Если вы хотите создать пользовательскую модель, то вы должны сделать это правильно. Не используя модель, предоставляемую фреймворком, вы упускаете множество встроенных функций, таких как хеширование паролей.

С учетом сказанного, вот пример неглубокой аутентификации с помощью токенов:

models.py

class Token(models.Model):
    key = models.UUIDField(default=uuid.uuid4)
    user = models.OneToOneField(User, on_delete=models.CASCADE)
    expiration = models.DateTimeField()

    @property
    def is_expired(self):
        return True if timezone.now() > self.expiration else False

    def renew(self):
        """
        Renew a token key and makes it valid for 3hours
        its common for a obj to have a refresh_key in order
        to do this process, which would require more logic.
        """
        self.key = uuid.uuid4()
        self.expiration = timezone.now() + datetime.timedelta(hours=3)
        self.save()

    def check_key(self, value):
        try:
            key = uuid.UUID(value)
            assert key == self.key
            return True

        except Exception:
            return False

views.py

def login(request):
    if request.method == "POST":
        email = request.POST.get("email")
        password = request.POST.get("password")
        token_key = request.COOKIES.get("token")

        try:
            # Fetch user and check password
            user = User.objects.get(email=email)
            if user.check_password(password):

                # Verify token validity, renew if necessary
                token = Token.objects.get(user=user)
                if token.check_key(token_key):
                    if token.is_expired:
                        token.renew()

                    response = HttpResponse("Authentication Successfull")
                    response.set_cookie("token", token.key)
                    return response

                else:
                    return HttpResponse("Invalid Token")

            else:
                return HttpResponse("Wrong Password")

        except ObjectDoesNotExist:
            return HttpResponse("User Not Found.")

    else:
        return render(request, "login.html")