django用户权限控制

2020-12-19 09:17:04 编辑 6 阅读量:1559

Django用user, group和permission完成了权限机制，这个权限机制是将属于model的某个permission赋予user或group，可以理解为全局的权限，即如果用户A对数据模型（model）B有可写权限，那么A能修改model B的所有实例（objects）。group的权限也是如此，如果为group C 赋予model B的可写权限，则隶属于group C 的所有用户，都可以修改model B的所有实例。
    一、Django携带的权限管理使用方式如下：
    1、权限添加
    当我们为应用创建一个Models, 在同步到数据库里，django默认给了三个权限 ，就是 add, change, delete权限。Django定义每个model后，默认都会添加该model的add, change和delete三个permission，自定义的permission可以在我们定义model时手动添加：

```python
class Article(models.Model):
    ...
    class Meta:
        permissions = (
            ("download_article", "Can download articles"),
        )
# Django已自动添加了add_article, change_article, delete_article三个权限，上面是自己添加download_article权限， "Can download articles"是在admin页面的描述
```

每个permission都是django.contrib.auth.Permission类型的实例，该类型包含三个字段name, codename 和 content_type，其中 content_type反应了permission属于哪个model，codename如上面的view_task，代码逻辑中检查权限时要用， name是permission的描述，将permission打印到屏幕或页面时默认显示的就是name

在model中创建自定义权限，从系统开发的角度，可理解为创建系统的内置权限，如果需求中涉及到用户使用系统时创建自定义权限，则要通过下面方法：

```python
from myapp.models import BlogPost
from django.contrib.auth.models import Permission
from django.contrib.contenttypes.models import ContentType

content_type = ContentType.objects.get_for_model(BlogPost)
permission = Permission.objects.create(codename='can_publish',
                                       name='Can Publish Posts',
                                       content_type=content_type)
```

2、权限检查
    权限检查包括user、group
    2.1、User对象的user_permission字段管理用户的权限：

```python
myuser.user_permissions = [permission_list]
myuser.user_permissions.add(permission, permission, ...) #增加权限
myuser.user_permissions.remove(permission, permission, ...) #删除权限
myuser.user_permissions.clear() #清空权限

##############################################################
# 注：上面的permission为django.contrib.auth.Permission类型的实例
##############################################################

# 检查用户权限用has_perm()方法：

myuser.has_perm('myapp.fix_car')
```

has_perm()方法的参数，即permission的codename，但传递参数时需要加上model 所属app的前缀，格式为

```
<app label>.<permission codename>
```

2.2、group permission管理逻辑与user permission管理一致，group中使用permissions字段做权限管理：

```python
group.permissions = [permission_list]
group.permissions.add(permission, permission, ...)
group.permissions.remove(permission, permission, ...)
group.permissions.clear()
```

权限检查：依然使用user.has_perm()方法。

```python
user.get_all_permissions() # 列出用户的所有权限，返回值是permission name的list
user.get_group_permissions()  #列出用户所属group的权限，返回值是permission name的lis
#无论permission赋予user还是group，has_perm()方法均适用
```
  
    2.3 装饰器
    权限能约束用户行为，当业务逻辑中涉及到权限检查时，decorator能够分离权限验证和核心的业务逻辑，使代码更简洁，逻辑更清晰。permission的decorator为permission_required（可类比与login_required)

```python
from django.contrib.auth.decorators import permission_required

# arguments can be:login_url, raise_exception
# login_url指定权限检查失败时的跳转路径，默认为accounts/login/
# 如果raise_exception=True，则当权限检查失败时，跳转至403页面，如果还需要更精确的行为，下面会有介绍自定义的装饰器

@permission_required('article.download_article')
def my_view(request):
```

2.4 Template中的权限检查
    在模板中可使用perms对象，如下：

```
{% if perms.article.add_article %}
            p>You have permission to do add article.</p>  
{% endif %}
```

上面就是对Django权限的简单应用，如果想使用更复杂一点点权限控制，可以自己定义权限。
    二、自定义权限
    大概步骤有3步，第一步，要在models中建立权限的名称和描述信息，这个信息是在django admin中设置权限时显示的信息；第二步，建立一个权限表Permission, 将权限的名称,url名称，请求方法(get or post), 参数列表保存进去；第三步， 定义判断权限的方法。示例如下：

1、设计model

```python
class Permission(models.Model):
    name = models.CharField("权限名称", max_length=64)
    url = models.CharField('URL名称', max_length=255)
    chioces = ((1, 'GET'), (2, 'POST'))
    per_method = models.SmallIntegerField('请求方法', choices=chioces, default=1)
    argument_list = models.CharField('参数列表', max_length=255, help_text='多个参数之间用英文半角逗号隔开', blank=True, null=True)
    describe = models.CharField('描述', max_length=255)

def __unicode__(self):
        return self.name

class Meta:
        verbose_name = '权限表'
        verbose_name_plural = verbose_name
        permissions = (
            ('download_file', '下载附件'),
            ('upload_file', '上传附件'),
        )
```

2、在admin中注册该model，就可以在admin页面管理、添加该表
    在admin.py中添加

```python
# models为自己设计的model的models.py
from models import Permission
admin.site.register(Permission)
```

3、权限判断方式
    逻辑是这样,客户端访问时，函数 先获取url地址，根据url地址得到urlname, 再获取请求方法和参数，然后使用urlname, 请求方法，参数列表到数据库中查询，能查询到之后说明这个权限存在；然后再使用request.user.has_perm()来判断该用户是否具有该权限（注意，该权限其实输入Permission model的，这里仅是用来验证）。
    添加permission.py文件，内容如下：

```python
# coding:utf-8
from django.shortcuts import render
from django.db.models import Q
from django.core.urlresolvers import resolve

from blog.models import Permission

def perm_check(request, *args, **kwargs):
    url_obj = resolve(request.path_info)
    url_name = url_obj.url_name
    # 在模板中定义了权限与urlname配合
    if url_name:
        # Get method and args
        url_method, url_args = request.method, request.GET
        url_args_list = []
        for i in url_args:
            url_args_list.append(str(url_args[i]))
        url_args_list = ','.join(url_args_list)

perm_data = Permission.objects.filter(Q(url=url_name) and Q(per_method=url_method) and Q(argument_list=url_args_list))
        if perm_data:
            for perm in perm_data:
                if request.user.has_perm('blog.%s' % perm.name):
                    return True
    return False

def check_blog_permission(fun):
    def wapper(request, *args, **kwargs):
        if perm_check(request, *args, **kwargs):
            return fun(request, *args, **kwargs)
        # 这里跳转至403.html，注意要自己先定义一个模板
        # 这里可以定义更多的处理方式
        return render(request, '403.html')
    return wapper
```

接着就是在views中作为装饰器使用

```python
from permission import check_blog_permission
@check_blog_permission
def download(request):
   ...
```

注意：这里如果要添加或者修改权限的话，需要同时在model和admin页面添加、修改。其中，admin里面的 权限名称要和model里面permissions中的name一致(比如'download_file')
感觉这里可以作为服务器api生成、检测的一种方式

三、使用基于Django-guardian（基于object permission方式）

备注：
    1、在一、二中都没有说明给用户添加权限，这里可以采用在admin中User里面添加，也可以在用户注册时添加
    2、第二中情况中，也可以做到object permission，设置好参数即可（参数可以是url中的article_id等等，只有吻合了才可以下载)
    3、关于装饰器，Django有一个称为 user_passes_test 的简洁方式。它接受参数然后为你指定的情况生成装饰器：

```python
def user_can_vote(user):
 return user.is_authenticated() and user.has_perm("polls.can_vote")
 
@user_passes_test(user_can_vote, login_url="/login/")
def vote(request):
 # Code here can assume a logged-in user with the correct permission.
```

user_passes_test 使用一个必需的参数： 一个可调用的方法，当存在 User 对象并当此用户允许查看该页面时返回 True 。 注意 user_passes_test 不会自动检查 User是否认证，你应该自己做这件事。这里可以在@user_passes_test下在添加一层装饰器：@login_required

```python
def user_can_vote(user):
 return user.is_authenticated() and user.has_perm("polls.can_vote")
 
@user_passes_test(user_can_vote, login_url="/login/")
@loging_required
def vote(request):
 # Code here can assume a logged-in user with the correct permission.
```
    3、参考资料：
        http://www.jianshu.com/p/01126437e8a4
        http://www.cnblogs.com/huangxm/p/5770735.html
        http://www.jb51.net/article/69893.htm

附件:

gb21.png