Django-xadmin+rule對(duì)象級(jí)權(quán)限的實(shí)現(xiàn)方式
更新時(shí)間：2020年03月30日 16:45:11 作者：菲宇
今天小編就為大家分享一篇Django-xadmin+rule對(duì)象級(jí)權(quán)限的實(shí)現(xiàn)方式，具有很好的參考價(jià)值，希望對(duì)大家有所幫助。一起跟隨小編過(guò)來(lái)看看吧
1. 需求vs現(xiàn)狀
1.1 需求
要求做一個(gè)ERP后臺(tái)輔助管理的程序，有以下幾項(xiàng)基本要求：
1. 基本的增刪改查功能
2. 基于對(duì)象的權(quán)限控制（如：系統(tǒng)用戶(hù)分為平臺(tái)運(yùn)營(yíng)人員和商家用戶(hù)，商家用戶(hù)小A只能查看編輯所屬商家記錄，而管理員可以縱覽全局）
3. 數(shù)據(jù)庫(kù)記錄導(dǎo)入導(dǎo)出（xsl, json等），并且擁有對(duì)象級(jí)的權(quán)限控制（如：小A不能導(dǎo)出小B公司的信息，更不能導(dǎo)入小B公司信息進(jìn)行更新和新增）
1.2 現(xiàn)狀
實(shí)現(xiàn)需求1：Django-admin讓我們能夠很方便的實(shí)現(xiàn)一個(gè)管理后臺(tái)程序。django-xadmin則在擁有admin基本功能的基礎(chǔ)上增加了更為豐富的功能、界面也更加漂亮。類(lèi)似還有django-suit等，本文使用xadmin（功能更豐富）；
實(shí)現(xiàn)需求2：django-admin，以及xadmin都只有基于model級(jí)的權(quán)限控制機(jī)制，需要自己擴(kuò)展或者使用開(kāi)源解決方案，如django-guardian，django-rules，本文結(jié)合django-rules實(shí)現(xiàn)了該功能；
實(shí)現(xiàn)需求3：xadmin雖然自帶導(dǎo)出功能，但是導(dǎo)入功能沒(méi)有實(shí)現(xiàn)，django自帶后臺(tái)結(jié)合django-import-export可以很容易實(shí)現(xiàn)，但是xadmin并不直接兼容，只有通過(guò)xadmin的插件機(jī)制實(shí)現(xiàn)。
2. 功能實(shí)現(xiàn)
本節(jié)主要展示對(duì)象級(jí)權(quán)限功能實(shí)現(xiàn)。django工程、xadmin替換原生admin的設(shè)置，請(qǐng)參照官方文檔。
2.1 安裝并配置rules
pip安裝:pip install django-rules
配置settings.py
# settings.py INSTALLED_APPS = ( # ... 'rules', ) AUTHENTICATION_BACKENDS = ( 'rules.permissions.ObjectPermissionBackend', 'django.contrib.auth.backends.ModelBackend', )
2.2 建立model
新增CompanyUser模型表示商家賬戶(hù)（即對(duì)django自帶user模塊進(jìn)行擴(kuò)展，使每個(gè)賬號(hào)綁定自己的公司碼），新增Customer模型表示商家的客戶(hù)信息并包含公司碼字段，商家賬號(hào)只能查看、編輯、導(dǎo)入、導(dǎo)出公司碼一致的商家客戶(hù)信息
# model.py
class CompanyUser(models.Model):
user = models.OneToOneField(User, verbose_name='用戶(hù)名')
is_taixiang_admin = models.BooleanField('是否運(yùn)營(yíng)人員', default=False)
company_code = models.CharField('公司碼', max_length=20, blank=True, default='')
def __unicode__(self):
return '%s' % self.user
class Meta:
verbose_name = '導(dǎo)入賬號(hào)'
verbose_name_plural = verbose_name
class Customer(models.Model):
name = models.CharField('客戶(hù)姓名', max_length=50)
phone = models.CharField('客戶(hù)電話(huà)', max_length=12)
type_choice = ((1, '普通'), (2, '批發(fā)'), (3, 'VIP'))
creator = models.ForeignKey(settings.AUTH_USER_MODEL, verbose_name='創(chuàng)建人', blank=True, null=True)
company_code = models.CharField('公司碼', max_length=20, blank=True, null=True)
def __unicode__(self):
return '%s-%s-%s' % (self.company_code, self.name, self.phone1)
class Meta:
permissions = (
("simulate_import_customer", "允許模擬導(dǎo)入客戶(hù)"),
("import_customer", "允許導(dǎo)入客戶(hù)至商家系統(tǒng)"),
)
verbose_name = "客戶(hù)"
verbose_name_plural = verbose_name
2.2 使用rule
在model統(tǒng)計(jì)目錄新增rules.py，配置該app相關(guān)的對(duì)象權(quán)限
引用rules
# rules.py
# On Python 2, you must also add the following to the top of your rules.py file, or you'll get import errors trying to import django-rules itself
from __future__ import absolute_import
import rules
# 使用修飾符@rules.predicate自定義predicates（判斷），返回True表示有權(quán)限，F(xiàn)alse表示無(wú)權(quán)限
# Predicates
@rules.predicate
def is_colleague(user, entry):
if not entry or not hasattr(user, 'companyuser'):
return False
return entry.company_code == user.companyuser.company_code
@rules.predicate
def is_taixiang_admin(user):
if not hasattr(user, 'companyuser'):
return False
return user.companyuser.is_taixiang_admin
# predicates間可以進(jìn)行運(yùn)算
is_colleague_or_taixiang_admin = is_colleague | is_taixiang_admin | rules.is_superuser
# 設(shè)置Rules
rules.add_rule('can_view_customer', is_colleague_or_taixiang_admin)
rules.add_rule('can_delete_customer', is_colleague_or_taixiang_admin)
rules.add_perm('can_change_customer', is_colleague_or_taixiang_admin)
# 設(shè)置Permissions
rules.add_perm('data_import.view_customer', is_colleague_or_taixiang_admin)
rules.add_perm('data_import.delete_customer', is_colleague_or_taixiang_admin)
rules.add_perm('data_import.add_customer', is_colleague_or_taixiang_admin)
rules.add_perm('data_import.change_customer', is_colleague_or_taixiang_admin)
2.3 admin.py以及adminx.py設(shè)置
如果使用原生的django-admin，admin.py做如下設(shè)置：
# admin.py from __future__ import absolute_import from django.contrib import admin from rules.contrib.admin import ObjectPermissionsModelAdmin from .models import Customer # ModelAdmin class繼承ObjectPermissionsModelAdmin即可 class CustomerAdmin(ObjectPermissionsModelAdmin): pass admin.site.register(Customer, CustomerAdmin)
使用xadmin，由于ObjectPermissionsModelAdmin無(wú)法直接使用，故參照源碼重寫(xiě)has_change_permission和has_delete_permission方法即可。
注意：必須引用rules文件，權(quán)限規(guī)則才會(huì)生效，對(duì)于xadmin，添加
from .rules import *即可
# adminx.py
class CustomerAdmin(object):
def has_change_permission(self, obj=None):
codename = get_permission_codename('change', self.opts)
return self.user.has_perm('%s.%s' % (self.app_label, codename), obj)
def has_delete_permission(self, obj=None):
codename = get_permission_codename('delete', self.opts)
return self.user.has_perm('%s.%s' % (self.app_label, codename), obj)
# 重寫(xiě)queryset()或者get_list_display()，list view的權(quán)限也做到了對(duì)象級(jí)隔離
def queryset(self):
qs = super(CustomerAdmin, self).queryset()
if self.request.user.is_superuser or is_taixiang_admin(self.request.user):
return qs
try:
return qs.filter(company_code=self.request.user.companyuser.company_code)
except AttributeError:
return None
class CompanyUserAdmin(object):
pass
xadmin.sites.site.register(Customer, CustomerAdmin)
xadmin.sites.site.register(CompanyUser, CompanyUserAdmin)
2.4 效果展示
CompanyUser設(shè)置：
商家賬號(hào)只有所屬公司信息權(quán)限
運(yùn)營(yíng)人員擁有所有記錄權(quán)限
補(bǔ)充知識(shí)：django 擴(kuò)展自帶權(quán)限,使其支持對(duì)象權(quán)限
擴(kuò)展django 自帶權(quán)限
說(shuō)明
在不重寫(xiě) 自帶權(quán)限的基礎(chǔ)上，完成支持對(duì)象權(quán)限，適用于小型項(xiàng)目。
歡迎提出修改意見(jiàn)
軟件支持
jsonfield
數(shù)據(jù)庫(kù)
新建3個(gè)表
from django.db import models
from django.contrib.auth.models import AbstractUser, Group ,User
from jsonfield import JSONField
class Request(models.Model):
request = models.CharField(max_length=16, verbose_name='請(qǐng)求類(lèi)型(大寫(xiě))')
class Meta:
db_table = "request"
verbose_name = "請(qǐng)求類(lèi)型"
verbose_name_plural = verbose_name
def __str__(self):
return self.request
class RolePermission(models.Model):
role = models.CharField(max_length=32, verbose_name='角色組')
table = models.CharField(max_length=32, verbose_name='表名字')
request = models.ManyToManyField(Request, verbose_name='請(qǐng)求', related_name='re', )
permission = JSONField(max_length=1024, verbose_name='權(quán)限條件')
class Meta:
db_table = "role_permission"
verbose_name = "角色組權(quán)限"
verbose_name_plural = verbose_name
def __str__(self):
return self.role
class Role(models.Model):
group = models.ForeignKey(Group, verbose_name='用戶(hù)組', on_delete=models.CASCADE)
roles = models.ManyToManyField(RolePermission, verbose_name='角色組權(quán)限', blank=True,related_name='roles' )
class Meta:
db_table = "role"
verbose_name = "角色組關(guān)系"
verbose_name_plural = verbose_name
def __str__(self):
return self.group.name
system/models Role 角色組關(guān)系 : 系統(tǒng)用戶(hù)組 <--> 角色組權(quán)限 Request 請(qǐng)求類(lèi)型 : GET ,POST RolePermission 角色組權(quán)限 : 角色 表名字 請(qǐng)求 權(quán)限條件(JSON類(lèi)型)
重點(diǎn)為 RolePermission 表。
例子
以常見(jiàn)的資產(chǎn) asset 為例
表名字 asset 字段 groups (分組 為 dev,ops)
權(quán)限劃分
新建用戶(hù) hequan
新建組 dev
在Request 表 添加
GET （代表只讀）
POST （代表更新 刪除）
在RolePermission 添加
角色 asset-dev只讀
表名字assset
請(qǐng)求 GET
權(quán)限條件 {"groups":'dev'}
在Role 表中 添加
系統(tǒng)用戶(hù)組 dev
角色組權(quán)限 asset-dev只讀
權(quán)限驗(yàn)證代碼
import json
from system.models import Role
from functools import wraps
from django.shortcuts import HttpResponse
def role_permission_get_list(function):
"""
列表頁(yè)面 控制權(quán)限
:param function:
:return:
"""
@wraps(function)
def wrapped(self):
user = self.request.user
groups = [x['name'] for x in self.request.user.groups.values()]
request_type = self.request.method
model = str(self.model._meta).split(".")[1]
filter_dict = {}
not_list = ['page', 'order_by', 'csrfmiddlewaretoken']
for k, v in dict(self.request.GET).items():
if [i for i in v if i != ''] and (k not in not_list):
if '__in' in k:
filter_dict[k] = v
else:
filter_dict[k] = v[0]
if not user.is_superuser:
role_groups = Role.objects.filter(group__name__in=groups).values_list('roles__table',
'roles__request__request',
'roles__permission')
permission_dict = {}
for i in role_groups:
if i[0] == model and i[1] == request_type:
permission_dict = json.loads(i[2])
if permission_dict:
if filter_dict:
for k, v in permission_dict.items():
if '__in' in k:
k1 = k.replace('__in', '')
if '__gt' in k:
k1 = k.replace('__gt', '')
if '__lt' in k:
k1 = k.replace('__lt', '')
else:
k1 = k
if k1 in list(filter_dict.keys()):
del filter_dict[k1]
if filter_dict:
filter_dict.update(**permission_dict)
else:
print('查詢(xún)條件處理后為空,默認(rèn)權(quán)限')
filter_dict = permission_dict
else:
print('查詢(xún)條件為空,默認(rèn)權(quán)限')
filter_dict = permission_dict
else:
print('沒(méi)有權(quán)限')
filter_dict = {'id': -1}
self.filter_dict = filter_dict
result = function(self)
return result
return wrapped
def role_permission_detail(function):
"""
詳情頁(yè)面 控制權(quán)限
:param function:
:return:
"""
@wraps(function)
def wrapped(self, request, *args, **kwargs):
user = self.request.user
if not user.is_superuser:
groups = [x['name'] for x in self.request.user.groups.values()]
request_type = self.request.method
model = str(self.model._meta).split(".")[1]
pk = self.kwargs.get(self.pk_url_kwarg, None)
role_groups = Role.objects.filter(group__name__in=groups).values_list('roles__table',
'roles__request__request',
'roles__permission')
permission_dict = {}
for i in role_groups:
if i[0] == model and i[1] == request_type:
permission_dict = json.loads(i[2])
permission_dict['id'] = pk
obj = self.model.objects.filter(**permission_dict).count()
if not obj:
return HttpResponse(status=403)
result = function(self, request, *args, **kwargs)
return result
return wrapped
def role_permission_update_delete(function):
"""
詳情頁(yè)面 控制權(quán)限
:param function:
:return:
"""
@wraps(function)
def wrapped(self, request):
user = self.request.user
if not user.is_superuser:
groups = [x['name'] for x in self.request.user.groups.values()]
request_type = self.request.method
model = str(self.model._meta).split(".")[1]
pk = self.request.POST.get('nid', None)
role_groups = Role.objects.filter(group__name__in=groups).values_list('roles__table',
'roles__request__request',
'roles__permission')
permission_dict = {}
for i in role_groups:
if i[0] == model and i[1] == request_type:
permission_dict = json.loads(i[2])
permission_dict['id'] = pk
obj = self.model.objects.filter(**permission_dict).count()
if not obj:
ret = {'status': None, 'error': "沒(méi)有權(quán)限,拒絕", 'msg': 'Without permission, rejected'}
return HttpResponse(json.dumps(ret))
result = function(self, request)
return result
return wrapped
CBV 例子
省略部分代碼
class AssetListAll(LoginRequiredMixin, ListView):
model = Ecs
@role_permission_get_list
def get_queryset(self):
filter_dict = self.filter_dict
self.queryset = self.model.objects.filter(**filter_dict)
return self.queryset
class AssetChange(LoginRequiredMixin, UpdateView):
model = Ecs
@role_permission_detail
def dispatch(self, request, *args, **kwargs):
return super().dispatch(request, *args, **kwargs)
@role_permission_update_delete
def form_valid(self, form):
self.object = form.save()
return super().form_valid(form)
class AssetDetail(LoginRequiredMixin, DetailView):
model = Ecs
@role_permission_detail
def dispatch(self, request, *args, **kwargs):
return super().dispatch(request, *args, **kwargs)
class AssetDel(LoginRequiredMixin, View):
model = Ecs
@role_permission_update_delete
def post(self, request):
pass
以上這篇Django-xadmin+rule對(duì)象級(jí)權(quán)限的實(shí)現(xiàn)方式就是小編分享給大家的全部?jī)?nèi)容了，希望能給大家一個(gè)參考，也希望大家多多支持腳本之家。
相關(guān)文章
這篇文章主要介紹了Python3監(jiān)控疫情的完整代碼，代碼簡(jiǎn)單易懂，非常不錯(cuò)具有一定的參考借鑒價(jià)值,需要的朋友可以參考下2020-02-02
這篇文章主要為大家詳細(xì)介紹了python刪除本地夾里重復(fù)文件的方法，文中示例代碼介紹的非常詳細(xì)，具有一定的參考價(jià)值，感興趣的小伙伴們可以參考一下2018-05-05
Python解決拋小球問(wèn)題 求小球下落經(jīng)歷的距離之和示例
這篇文章主要介紹了Python解決拋小球問(wèn)題 求小球下落經(jīng)歷的距離之和,涉及Python基于遞歸的數(shù)值計(jì)算相關(guān)操作技巧,需要的朋友可以參考下2018-02-02
本文主要介紹了pandas的apply函數(shù)用法詳解，文中通過(guò)示例代碼介紹的非常詳細(xì)，對(duì)大家的學(xué)習(xí)或者工作具有一定的參考學(xué)習(xí)價(jià)值，需要的朋友們下面隨著小編來(lái)一起學(xué)習(xí)學(xué)習(xí)吧2023-01-01
Python函數(shù)中的可變長(zhǎng)參數(shù)詳解
在本篇文章里小編給大家整理的是關(guān)于Python函數(shù)中的可變長(zhǎng)參數(shù)的相關(guān)知識(shí)點(diǎn)內(nèi)容，有需要的朋友們參考下。2019-09-09
Python內(nèi)建序列通用操作6種實(shí)現(xiàn)方法
這篇文章主要介紹了Python內(nèi)建序列通用操作6種實(shí)現(xiàn)方法,文中通過(guò)示例代碼介紹的非常詳細(xì)，對(duì)大家的學(xué)習(xí)或者工作具有一定的參考學(xué)習(xí)價(jià)值,需要的朋友可以參考下2020-03-03
這篇文章主要介紹了Python Flask基礎(chǔ)教程示例代碼，分享了相關(guān)代碼示例，小編覺(jué)得還是挺不錯(cuò)的，具有一定借鑒價(jià)值，需要的朋友可以參考下2018-02-02
react中useLayoutEffect 和useEffect區(qū)別
本文主要介紹了react中useLayoutEffect 和useEffect區(qū)別，文中通過(guò)示例代碼介紹的非常詳細(xì)，具有一定的參考價(jià)值，感興趣的小伙伴們可以參考一下2021-12-12
在Python中使用itertools模塊中的組合函數(shù)的教程
這篇文章主要介紹了在Python中使用itertools模塊中的組合函數(shù)的教程,來(lái)自IBM官方技術(shù)文檔,需要的朋友可以參考下2015-04-04
python?playwright?庫(kù)上傳和下載操作(自動(dòng)化測(cè)試?playwright)
這篇文章主要介紹了python?playwright?庫(kù)上傳和下載操作(自動(dòng)化測(cè)試?playwright?),playwright中的上傳和下載比selenium的上傳和下載要簡(jiǎn)便些,本文結(jié)合實(shí)例代碼給大家介紹的非常詳細(xì)，需要的朋友可以參考下2023-05-05