本文研究的主要是Django權(quán)限機(jī)制的相關(guān)內(nèi)容，具體如下。

1. Django權(quán)限機(jī)制概述

權(quán)限機(jī)制能夠約束用戶(hù)行為，控制頁(yè)面的顯示內(nèi)容，也能使API更加安全和靈活；用好權(quán)限機(jī)制，能讓系統(tǒng)更加強(qiáng)大和健壯。因此，基于Django的開(kāi)發(fā)，理清Django權(quán)限機(jī)制是非常必要的。

1.1 Django的權(quán)限控制

Django用user, group和permission完成了權(quán)限機(jī)制，這個(gè)權(quán)限機(jī)制是將屬于model的某個(gè)permission賦予user或group，可以理解為全局的權(quán)限，即如果用戶(hù)A對(duì)數(shù)據(jù)模型（model）B有可寫(xiě)權(quán)限，那么A能修改model B的所有實(shí)例（objects）。group的權(quán)限也是如此，如果為group C 賦予model B的可寫(xiě)權(quán)限，則隸屬于group C 的所有用戶(hù)，都可以修改model B的所有實(shí)例。

這種權(quán)限機(jī)制只能解決一些簡(jiǎn)單的應(yīng)用需求，而大部分應(yīng)用場(chǎng)景下，需要更細(xì)分的權(quán)限機(jī)制。以博客系統(tǒng)為例，博客系統(tǒng)的用戶(hù)可分為『管理員』、『編輯』、『作者』和『讀者』四個(gè)用戶(hù)組；博客系統(tǒng)管理員和編輯具有查看、修改和刪除所有的文章的權(quán)限，作者只能修改和刪除自己寫(xiě)的文章，而讀者則只有閱讀權(quán)限。管理員、編輯和讀者的權(quán)限，我們可以用全局權(quán)限做控制，而對(duì)于作者，全局權(quán)限無(wú)法滿(mǎn)足需求，僅通過(guò)全局權(quán)限，要么允許作者編輯不屬于自己的文章，要么讓作者連自己的文章都無(wú)法修改。

上述的應(yīng)用場(chǎng)景，Django自帶的權(quán)限機(jī)制無(wú)法滿(mǎn)足需求，需要引入另一種更細(xì)的權(quán)限機(jī)制：對(duì)象權(quán)限（object permission）。

Object Permission是一種對(duì)象顆粒度上的權(quán)限機(jī)制，它允許為每個(gè)具體對(duì)象授權(quán)。仍沿用最開(kāi)始的例子，如果model B有三個(gè)實(shí)例 B1，B2 和B3，如果我們把B1的可寫(xiě)權(quán)限賦予用戶(hù)A，則A可以修改B1對(duì)象，而對(duì)B2，B3無(wú)法修改。

對(duì)group也一樣，如果將B2的可寫(xiě)權(quán)限賦予group C，則隸屬于group C的所有用戶(hù)均可以修改B2，但無(wú)法修改B1和B3。結(jié)合Django自帶權(quán)限機(jī)制和object permission，博客系統(tǒng)中作者的權(quán)限控制迎刃而解：系統(tǒng)全局上不允許作者編輯文章，而對(duì)于屬于作者的具體文章，賦予編輯權(quán)限即可。

Django其實(shí)包含了object permission的框架，但沒(méi)有具體實(shí)現(xiàn)，object permission的實(shí)現(xiàn)需要借助第三方app django-guardian，我們?cè)陂_(kāi)發(fā)中用調(diào)用django guradian封裝好的方法即可。

1.2 Django的權(quán)限項(xiàng)

Django用permission對(duì)象存儲(chǔ)權(quán)限項(xiàng)，每個(gè)model默認(rèn)都有三個(gè)permission，即add model, change model和delete model。例如，定義一個(gè)名為『Car』model，定義好Car之后，會(huì)自動(dòng)創(chuàng)建相應(yīng)的三個(gè)permission：add_car, change_car和delete_car。Django還允許自定義permission，例如，我們可以為Car創(chuàng)建新的權(quán)限項(xiàng)：drive_car, clean_car, fix_car等等

需要注意的是，permission總是與model對(duì)應(yīng)的，如果一個(gè)object不是model的實(shí)例，我們無(wú)法為它創(chuàng)建/分配權(quán)限。

2. Django 自帶權(quán)限機(jī)制的應(yīng)用

2.1 Permission

如上文所述，Django定義每個(gè)model后，默認(rèn)都會(huì)添加該model的add, change和delete三個(gè)permission，自定義的permission可以在我們定義model時(shí)手動(dòng)添加：

class Task(models.Model):
  ...
  class Meta:
    permissions = (
      ("view_task", "Can see available tasks"),
      ("change_task_status", "Can change the status of tasks"),
      ("close_task", "Can remove a task by setting its status as closed"),
    )

每個(gè)permission都是django.contrib.auth.Permission類(lèi)型的實(shí)例，該類(lèi)型包含三個(gè)字段name, codename 和 content_type，其中 content_type反應(yīng)了permission屬于哪個(gè)model，codename如上面的view_task，代碼邏輯中檢查權(quán)限時(shí)要用， name是permission的描述，將permission打印到屏幕或頁(yè)面時(shí)默認(rèn)顯示的就是name。

在model中創(chuàng)建自定義權(quán)限，從系統(tǒng)開(kāi)發(fā)的角度，可理解為創(chuàng)建系統(tǒng)的內(nèi)置權(quán)限，如果需求中涉及到用戶(hù)使用系統(tǒng)時(shí)創(chuàng)建自定義權(quán)限，則要通過(guò)下面方法：

from myapp.models import BlogPost
from django.contrib.auth.models import Permission
from django.contrib.contenttypes.models import ContentType

content_type = ContentType.objects.get_for_model(BlogPost)
permission = Permission.objects.create(codename='can_publish',
                    name='Can Publish Posts',
                    content_type=content_type)

2.2 User Permission管理

User對(duì)象的user_permission字段管理用戶(hù)的權(quán)限：

myuser.user_permissions = [permission_list]
myuser.user_permissions.add(permission, permission, ...) #增加權(quán)限
myuser.user_permissions.remove(permission, permission, ...) #刪除權(quán)限
myuser.user_permissions.clear() #清空權(quán)限

##############################################################
# 注：上面的permission為django.contrib.auth.Permission類(lèi)型的實(shí)例
##############################################################

檢查用戶(hù)權(quán)限用has_perm()方法：

myuser.has_perm('myapp.fix_car')

has_perm()方法的參數(shù)，即permission的codename，但傳遞參數(shù)時(shí)需要加上model 所屬app的前綴，格式為<app label>.<permission codename>。

無(wú)論permission賦予user還是group，has_perm()方法均適用

附注：
user.get_all_permissions()方法列出用戶(hù)的所有權(quán)限，返回值是permission name的list
user.get_group_permissions()方法列出用戶(hù)所屬group的權(quán)限，返回值是permission name的list

2.3 Group Permission管理

group permission管理邏輯與user permission管理一致，group中使用permissions字段做權(quán)限管理：

group.permissions = [permission_list]
group.permissions.add(permission, permission, ...)
group.permissions.remove(permission, permission, ...)
group.permissions.clear()

權(quán)限檢查：

依然使用user.has_perm()方法。

2.4 permission_required 裝飾器

權(quán)限能約束用戶(hù)行為，當(dāng)業(yè)務(wù)邏輯中涉及到權(quán)限檢查時(shí)，decorator能夠分離權(quán)限驗(yàn)證和核心的業(yè)務(wù)邏輯，使代碼更簡(jiǎn)潔，邏輯更清晰。permission的decorator為permission_required：

from django.contrib.auth.decorators import permission_required

@permission_required('car.drive_car')
def my_view(request):

2.5 Template中的權(quán)限檢查

Template中使用全局變量perms存儲(chǔ)當(dāng)前用戶(hù)的所有權(quán)限，權(quán)限檢查可以參考下面例子：

{% if perms.main.add_page %}
      <li class="dropdown">
       <a href="#" rel="external nofollow" class="dropdown-toggle" data-toggle="dropdown" role="button" aria-expanded="false">Pages <span class="caret"></span></a>
       <ul class="dropdown-menu" role="menu">
        <li><a href="{% url 'main:admin_pages' %}" rel="external nofollow" >All Pages</a></li>
        <li><a href="{% url 'main:admin_page' %}" rel="external nofollow" >New Page</a></li>
        <li><a href="{% url 'main:admin_pages' %}?draft=true" rel="external nofollow" >Drafts</a></li>
       </ul>
      </li>
{% endif %}

3. 基于Django-guardian的object permission的應(yīng)用

Django-guardian基于django的原生邏輯擴(kuò)展了django的權(quán)限機(jī)制，應(yīng)用django-guardian后，可以使用django-guardian提供的方法以及django的原生方法檢查全局權(quán)限，django-guardian提供的object permission機(jī)制使django的權(quán)限機(jī)制更加完善。

django-guardian詳細(xì)的使用文檔請(qǐng)參考官方文檔，其object permission常用方法如下：

from guardian.shortcuts import assign_perm, get_perms
from guardian.core import ObjectPermissionChecker
from guardian.decorators import permission_required

3.1 添加object permission

添加object permission使用assign_perm()方法，如為用戶(hù)添加對(duì)mycar對(duì)象的drive_car權(quán)限：

assign_perm('myapp.drive_car', request.user, mycar)

assign_perm()方法也可用于group

assign_perm('myapp.drive_car', mygroup, mycar)

3.2 權(quán)限檢查

3.2.1 Global permission

get_perms()方法用于檢查用戶(hù)的“全局權(quán)限”（global permission），與user.has_perm()異曲同工，如：

#############################
# It works! 
#############################
 if not 'main.change_post' in get_perms(request.user, post):
   raise HttpResponse('Forbidden')

#############################
# It works, too!
#############################
if not request.user.has_perm('main.change_post')
  return HttpResponse('Forbidden')

例子中雖然把post object作為參數(shù)傳給get_perms()方法，但它只檢查user的全局權(quán)限中是否有main.change_post權(quán)限，很多情況下可用原生的user.has_perm取代，但user和group均可作為get_perms()的傳入?yún)?shù)，某些情況下可以使代碼更簡(jiǎn)潔。

3.2.2 Object permission

Django-guardian中使用ObjectPermissionChecker檢查用戶(hù)的object permission，示例如下：

checker = ObjectPermissionChecker(request.user)
print checker.has_perm('main.change_post', post)

3.3 permission_required裝飾器

guardian.decorators.permission_required是django-guardian權(quán)限檢查的decorator，既可以檢查全局權(quán)限，又可以檢查對(duì)象權(quán)限（object permission），其中，accept_global_perms參數(shù)指出是否檢查user的global permission，如：

from guardian.decorators import permission_required

class DeletePost(View):
  @method_decorator(permission_required('main.delete_post', 
              (models.Post, 'id', 'pk'), 
              accept_global_perms=True))
  def get(self, request, pk):
    try:
      pk = int(pk)
      cur_post = models.Post.objects.get(pk=pk)
      is_draft = cur_post.is_draft

      url = reverse('main:admin_posts')
      if is_draft:
        url = '{0}?draft=true'.format(url)  
      cur_post.delete()
    except models.Post.DoesNotExist:
      raise Http404

    return redirect(url)

注：
decorator中的(models.Post, ‘id', ‘pk')部分，用于指定object實(shí)例，如果忽略這個(gè)參數(shù)，則不論accept_global_perms值為T(mén)rue還是False，均僅僅檢查全局權(quán)限。

4. 結(jié)論

Django原生提供了一種簡(jiǎn)單的全局權(quán)限（global permission）控制機(jī)制，但很多應(yīng)用場(chǎng)景下，對(duì)象權(quán)限（object permission）更加有用；django-guardian是目前比較活躍的一個(gè)django extension，提供了一種有效的object permission控制機(jī)制，與django原生機(jī)制一脈相承，推薦使用。

以上就是本文關(guān)于Django權(quán)限機(jī)制實(shí)現(xiàn)代碼詳解的全部?jī)?nèi)容，希望對(duì)大家有所幫助。感興趣的朋友可以繼續(xù)參閱本站其他相關(guān)專(zhuān)題，如有不足之處，歡迎留言指出。感謝朋友們對(duì)本站的支持！

最新評(píng)論