創(chuàng)新互聯(lián)www.cdcxhl.cn八線動態(tài)BGP香港云服務器提供商,新人活動買多久送多久,劃算不套路!
為萬源等地區(qū)用戶提供了全套網(wǎng)頁設計制作服務,及萬源網(wǎng)站建設行業(yè)解決方案。主營業(yè)務為成都網(wǎng)站設計、成都網(wǎng)站制作、萬源網(wǎng)站設計,以傳統(tǒng)方式定制建設網(wǎng)站,并提供域名空間備案等一條龍服務,秉承以專業(yè)、用心的態(tài)度為用戶提供真誠的服務。我們深信只要達到每一位用戶的要求,就會得到認可,從而選擇與我們長期合作。這樣,我們也可以走得更遠!這篇文章給大家分享的是有關django添加權限的方法的內容。小編覺得挺實用的,因此分享給大家做個參考。一起跟隨小編過來看看吧。
Django權限機制概述
權限機制能夠約束用戶行為,控制頁面的顯示內容,也能使API更加安全和靈活;用好權限機制,能讓系統(tǒng)更加強大和健壯。因此,基于Django的開發(fā),理清Django權限機制是非常必要的。
Django的權限控制
Django用user, group和permission完成了權限機制,這個權限機制是將屬于model的某個permission賦予user或group,可以理解為全局的權限,即如果用戶A對數(shù)據(jù)模型(model)B有可寫權限,那么A能修改model B的所有實例(objects)。group的權限也是如此,如果為group C 賦予model B的可寫權限,則隸屬于group C 的所有用戶,都可以修改model B的所有實例。
這種權限機制只能解決一些簡單的應用需求,而大部分應用場景下,需要更細分的權限機制。以博客系統(tǒng)為例,博客系統(tǒng)的用戶可分為『管理員』、『編輯』、『作者』和『讀者』四個用戶組;博客系統(tǒng)管理員和編輯具有查看、修改和刪除所有的文章的權限,作者只能修改和刪除自己寫的文章,而讀者則只有閱讀權限。管理員、編輯和讀者的權限,我們可以用全局權限做控制,而對于作者,全局權限無法滿足需求,僅通過全局權限,要么允許作者編輯不屬于自己的文章,要么讓作者連自己的文章都無法修改。
上述的應用場景,Django自帶的權限機制無法滿足需求,需要引入另一種更細的權限機制:對象權限(object permission)。
Object Permission是一種對象顆粒度上的權限機制,它允許為每個具體對象授權。仍沿用最開始的例子,如果model B有三個實例 B1,B2 和B3,如果我們把B1的可寫權限賦予用戶A,則A可以修改B1對象,而對B2,B3無法修改。
對group也一樣,如果將B2的可寫權限賦予group C,則隸屬于group C的所有用戶均可以修改B2,但無法修改B1和B3。結合Django自帶權限機制和object permission,博客系統(tǒng)中作者的權限控制迎刃而解:系統(tǒng)全局上不允許作者編輯文章,而對于屬于作者的具體文章,賦予編輯權限即可。
Django其實包含了object permission的框架,但沒有具體實現(xiàn),object permission的實現(xiàn)需要借助第三方app django-guardian,我們在開發(fā)中用調用django guradian封裝好的方法即可。
Django的權限項
Django用permission對象存儲權限項,每個model默認都有三個permission,即add model, change model和delete model。例如,定義一個名為『Car』model,定義好Car之后,會自動創(chuàng)建相應的三個permission:add_car, change_car和delete_car。Django還允許自定義permission,例如,我們可以為Car創(chuàng)建新的權限項:drive_car, clean_car, fix_car等等
需要注意的是,permission總是與model對應的,如果一個object不是model的實例,我們無法為它創(chuàng)建/分配權限。
Django 自帶權限機制的應用
Permission
如上文所述,Django定義每個model后,默認都會添加該model的add, change和delete三個permission,自定義的permission可以在我們定義model時手動添加:
class Task(models.Model): ... class Meta: permissions = ( ("view_task", "Can see available tasks"), ("change_task_status", "Can change the status of tasks"), ("close_task", "Can remove a task by setting its status as closed"), )
每個permission都是django.contrib.auth.Permission類型的實例,該類型包含三個字段name, codename 和 content_type,其中 content_type反應了permission屬于哪個model,codename如上面的view_task,代碼邏輯中檢查權限時要用, name是permission的描述,將permission打印到屏幕或頁面時默認顯示的就是name。
在model中創(chuàng)建自定義權限,從系統(tǒng)開發(fā)的角度,可理解為創(chuàng)建系統(tǒng)的內置權限,如果需求中涉及到用戶使用系統(tǒng)時創(chuàng)建自定義權限,則要通過下面方法:
from myapp.models import BlogPost from django.contrib.auth.models import Permission from django.contrib.contenttypes.models import ContentType content_type = ContentType.objects.get_for_model(BlogPost) permission = Permission.objects.create(codename='can_publish', name='Can Publish Posts', content_type=content_type)
User Permission管理
User對象的user_permission字段管理用戶的權限:
myuser.user_permissions = [permission_list] myuser.user_permissions.add(permission, permission, ...) #增加權限 myuser.user_permissions.remove(permission, permission, ...) #刪除權限 myuser.user_permissions.clear() #清空權限
檢查用戶權限用has_perm()方法:
myuser.has_perm('myapp.fix_car')
has_perm()方法的參數(shù),即permission的codename,但傳遞參數(shù)時需要加上model 所屬app的前綴,格式為<app label>.<permission codename>。
無論permission賦予user還是group,has_perm()方法均適用
Group Permission管理
group permission管理邏輯與user permission管理一致,group中使用permissions字段做權限管理:
group.permissions = [permission_list] group.permissions.add(permission, permission, ...) group.permissions.remove(permission, permission, ...) group.permissions.clear()
permission_required 裝飾器
權限能約束用戶行為,當業(yè)務邏輯中涉及到權限檢查時,decorator能夠分離權限驗證和核心的業(yè)務邏輯,使代碼更簡潔,邏輯更清晰。permission的decorator為permission_required:
from django.contrib.auth.decorators import permission_required @permission_required('car.drive_car') def my_view(request):
Template中的權限檢查
Template中使用全局變量perms存儲當前用戶的所有權限,權限檢查可以參考下面例子:
{% if perms.main.add_page %} <li class="dropdown"> <a href="#" rel="external nofollow" class="dropdown-toggle" data-toggle="dropdown" role="button" aria-expanded="false">Pages <span class="caret"></span></a> <ul class="dropdown-menu" role="menu"> <li><a href="{% url 'main:admin_pages' %}" rel="external nofollow" >All Pages</a></li> <li><a href="{% url 'main:admin_page' %}" rel="external nofollow" >New Page</a></li> <li><a href="{% url 'main:admin_pages' %}?draft=true" rel="external nofollow" >Drafts</a></li> </ul> </li> {% endif %}
基于Django-guardian的object permission的應用
Django-guardian基于django的原生邏輯擴展了django的權限機制,應用django-guardian后,可以使用django-guardian提供的方法以及django的原生方法檢查全局權限,django-guardian提供的object permission機制使django的權限機制更加完善。
django-guardian詳細的使用文檔請參考官方文檔,其object permission常用方法如下:
from guardian.shortcuts import assign_perm, get_perms from guardian.core import ObjectPermissionChecker from guardian.decorators import permission_required
添加object permission
添加object permission使用assign_perm()方法,如為用戶添加對mycar對象的drive_car權限:
assign_perm('myapp.drive_car', request.user, mycar)
assign_perm()方法也可用于group
assign_perm('myapp.drive_car', mygroup, mycar)
Django原生提供了一種簡單的全局權限(global permission)控制機制,但很多應用場景下,對象權限(object permission)更加有用;django-guardian是目前比較活躍的一個django extension,提供了一種有效的object permission控制機制,與django原生機制一脈相承,推薦使用。
感謝各位的閱讀!關于django添加權限的方法就分享到這里了,希望以上內容可以對大家有一定的幫助,讓大家可以學到更多知識。如果覺得文章不錯,可以把它分享出去讓更多的人看到吧!
當前名稱:django添加權限的方法-創(chuàng)新互聯(lián)
分享URL:http://m.rwnh.cn/article24/pgoje.html
成都網(wǎng)站建設公司_創(chuàng)新互聯(lián),為您提供外貿建站、標簽優(yōu)化、網(wǎng)站排名、建站公司、品牌網(wǎng)站制作、自適應網(wǎng)站
聲明:本網(wǎng)站發(fā)布的內容(圖片、視頻和文字)以用戶投稿、用戶轉載內容為主,如果涉及侵權請盡快告知,我們將會在第一時間刪除。文章觀點不代表本網(wǎng)站立場,如需處理請聯(lián)系客服。電話:028-86922220;郵箱:631063699@qq.com。內容未經(jīng)允許不得轉載,或轉載時需注明來源: 創(chuàng)新互聯(lián)
猜你還喜歡下面的內容