http://python.jobbole.com/84086/
本文涉及的技術,已應用於我基於django 1.8+ 開發的博客系統——MayBlog,歡迎交流。
1. Django權限機制概述
權限機制能夠約束用戶行爲,控制頁面的顯示內容,也能使API更加安全和靈活;用好權限機制,能讓系統更加強大和健壯。因此,基於Django的開發,理清Django權限機制是非常必要的。
1.1 Django的權限控制
Django用user, group和permission完成了權限機制,這個權限機制是將屬於model的某個permission賦予user或group,可以理解爲全局的權限,即如果用戶A對數據模型(model)B有可寫權限,那麼A能修改model B的所有實例(objects)。group的權限也是如此,如果爲group C 賦予model B的可寫權限,則隸屬於group C 的所有用戶,都可以修改model B的所有實例。
這種權限機制只能解決一些簡單的應用需求,而大部分應用場景下,需要更細分的權限機制。以博客系統爲例,博客系統的用戶可分爲『管理員』、『編輯』、『作者』和『讀者』四個用戶組;博客系統管理員和編輯具有查看、修改和刪除所有的文章的權限,作者只能修改和刪除自己寫的文章,而讀者則只有閱讀權限。管理員、編輯和讀者的權限,我們可以用全局權限做控制,而對於作者,全局權限無法滿足需求,僅通過全局權限,要麼允許作者編輯不屬於自己的文章,要麼讓作者連自己的文章都無法修改。
上述的應用場景,Django自帶的權限機制無法滿足需求,需要引入另一種更細的權限機制:對象權限(object permission)
。
Object Permission是一種對象顆粒度上的權限機制,它允許爲每個具體對象授權。仍沿用最開始的例子,如果model B有三個實例 B1,B2 和B3,如果我們把B1的可寫權限賦予用戶A,則A可以修改B1對象,而對B2,B3無法修改。對group也一樣,如果將B2的可寫權限賦予group C,則隸屬於group C的所有用戶均可以修改B2,但無法修改B1和B3。結合Django自帶權限機制和object permission,博客系統中作者的權限控制迎刃而解:系統全局上不允許作者編輯文章,而對於屬於作者的具體文章,賦予編輯權限即可。
Django其實包含了object permission的框架,但沒有具體實現,object permission的實現需要藉助第三方app django-guardian,我們在開發中用調用django guradian封裝好的方法即可。
1.2 Django的權限項
Django用permission對象存儲權限項,每個model默認都有三個permission,即add model, change model和delete model。例如,定義一個名爲『Car』model,定義好Car之後,會自動創建相應的三個permission:add_car
, change_car
和delete_car
。Django還允許自定義permission,例如,我們可以爲Car創建新的權限項:drive_car
, clean_car
, fix_car
等等
需要注意的是,permission總是與model對應的,如果一個object不是model的實例,我們無法爲它創建/分配權限。
2. Django 自帶權限機制的應用
2.1 Permission
如上文所述,Django定義每個model後,默認都會添加該model的add, change和delete三個permission,自定義的permission可以在我們定義model時手動添加:
1 2 3 4 5 6 7 8 | class Task(models.Model): ... class Meta: permissions = ( ("view_task", "Can see available tasks"), ("change_task_status", "Can change the status of tasks"), ("close_task", "Can remove a task by setting its status as closed"), ) |
每個permission都是django.contrib.auth.Permission
類型的實例,該類型包含三個字段name
, codename
和 content_type
,其中 content_type
反應了permission屬於哪個model,codename
如上面的view_task
,代碼邏輯中檢查權限時要用, name
是permission的描述,將permission打印到屏幕或頁面時默認顯示的就是name
在model中創建自定義權限,從系統開發的角度,可理解爲創建系統的內置權限,如果需求中涉及到用戶使用系統時創建自定義權限,則要通過下面方法:
1
2
3
4
5
6
7
8
|
from
myapp.models
import
BlogPost
from
django.contrib.auth.models
import
Permission
from
django.contrib.contenttypes.models
import
ContentType
content_type
=
ContentType.objects.get_for_model(BlogPost)
permission
=
Permission.objects.create(codename='can_publish',
name='Can
Publish Posts',
content_type=content_type)
|
2.2 User Permission管理
User對象的user_permission字段管理用戶的權限:
1 2 3 4 5 6 7 8 | myuser.user_permissions = [permission_list] myuser.user_permissions.add(permission, permission, ...) #增加權限 myuser.user_permissions.remove(permission, permission, ...) #刪除權限 myuser.user_permissions.clear() #清空權限 ############################################################## # 注:上面的permission爲django.contrib.auth.Permission類型的實例 ############################################################## |
檢查用戶權限用has_perm()
方法:
1
|
myuser.has_perm('myapp.fix_car')
|
has_perm()
方法的參數,即permission的codename
,但傳遞參數時需要加上model
所屬app的前綴,格式爲.
。
無論permission賦予user還是group,has_perm()
方法均適用
附註:
user.get_all_permissions()
方法列出用戶的所有權限,返回值是permission name的list
user.get_group_permissions()
方法列出用戶所屬group的權限,返回值是permission name的list
2.3 Group Permission管理
group permission管理邏輯與user permission管理一致,group中使用permissions字段做權限管理:
1 2 3 4 | group.permissions = [permission_list] group.permissions.add(permission, permission, ...) group.permissions.remove(permission, permission, ...) group.permissions.clear() |
權限檢查:
依然使用user.has_perm()
方法。
2.4 permission_required
裝飾器
權限能約束用戶行爲,當業務邏輯中涉及到權限檢查時,decorator能夠分離權限驗證和核心的業務邏輯,使代碼更簡潔,邏輯更清晰。permission的decorator爲permission_required
:
1
2
3
4
5
|
from
django.contrib.auth.decorators
import
permission_required
@permission_required('car.drive_car')
def
my_view(request):
...
|
2.5 Template中的權限檢查
Template中使用全局變量perms
存儲當前用戶的所有權限,權限檢查可以參考下面例子:
1 2 3 4 5 6 7 8 9 10 | {% if perms.main.add_page %} <li class="dropdown"> <a href="#" class="dropdown-toggle" data-toggle="dropdown" role="button" aria-expanded="false">Pages <span class="caret"></span></a> <ul class="dropdown-menu" role="menu"> <li><a href="{% url 'main:admin_pages' %}">All Pages</a></li> <li><a href="{% url 'main:admin_page' %}">New Page</a></li> <li><a href="{% url 'main:admin_pages' %}?draft=true">Drafts</a></li> </ul> </li> {% endif %} |
3. 基於Django-guardian的object permission的應用
Django-guardian基於django的原生邏輯擴展了django的權限機制,應用django-guardian後,可以使用django-guardian提供的方法以及django的原生方法檢查全局權限,django-guardian提供的object permission機制使django的權限機制更加完善。
django-guardian詳細的使用文檔請參考官方文檔,其object permission常用方法如下:
1
2
3
|
from
guardian.shortcuts
import
assign_perm,
get_perms
from
guardian.core
import
ObjectPermissionChecker
from
guardian.decorators
import
permission_required
|
3.1 添加object permission
添加object permission使用assign_perm()
方法,如爲用戶添加對mycar對象的drive_car權限:
1 | assign_perm('myapp.drive_car', request.user, mycar) |
assign_perm()
方法也可用於group
1
|
assign_perm('myapp.drive_car',
mygroup,
mycar)
|
3.2 權限檢查
3.2.1 Global permission
get_perms()
方法用於檢查用戶的“全局權限”(global permission),與user.has_perm()
異曲同工,如:
1 2 3 4 5 6 7 8 9 10 11 | ############################# # It works! ############################# if not 'main.change_post' in get_perms(request.user, post): raise HttpResponse('Forbidden') ############################# # It works, too! ############################# if not request.user.has_perm('main.change_post') return HttpResponse('Forbidden') |
例子中雖然把post object作爲參數傳給get_perms()方法,但它只檢查user的全局權限中是否有main.change_post
權限,很多情況下可用原生的user.has_perm
取代,但user和group均可作爲get_perms()
的傳入參數,某些情況下可以使代碼更簡潔。
3.2.2 Object permission
Django-guardian中使用ObjectPermissionChecker
檢查用戶的object permission,示例如下:
1
2
|
checker
=
ObjectPermissionChecker(request.user)
print
checker.has_perm('main.change_post',
post)
|
3.3 permission_required裝飾器
guardian.decorators.permission_required
是django-guardian權限檢查的decorator,既可以檢查全局權限,又可以檢查對象權限(object permission),其中,accept_global_perms
參數指出是否檢查user的global
permission,如:
1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
|
from
guardian.decorators
import
permission_required
class
DeletePost(View):
@method_decorator(permission_required('main.delete_post',
(models.Post,
'id',
'pk'),
accept_global_perms=True))
def
get(self,
request,
pk):
try:
pk
=
int(pk)
cur_post
=
models.Post.objects.get(pk=pk)
is_draft
=
cur_post.is_draft
url
=
reverse('main:admin_posts')
if
is_draft:
url
=
'{0}?draft=true'.format(url)
cur_post.delete()
except
models.Post.DoesNotExist:
raise
Http404
return
redirect(url)
|
注:
decorator中的(models.Post, 'id', 'pk')
部分,用於指定object實例,如果忽略這個參數,則不論accept_global_perms值爲True還是False,均僅僅檢查全局權限。
4. 結論
Django原生提供了一種簡單的全局權限(global permission)控制機制,但很多應用場景下,對象權限(object permission)更加有用;django-guardian是目前比較活躍的一個django extension,提供了一種有效的object permission控制機制,與django原生機制一脈相承,推薦使用。