rbac（基于角色权限控制）-------权限管理

权限管理
　　创建一个rbac和app的应用，这个rbac主要是用来存放权限的，全称叫做基于角色权限控制
　　一、先看配置文件合适不，给创建的rbac在配置文件里面设置一下
　　　　找到INSTALLED_APPS=【'rbac'】
　　二、设计表结构
　　　　models中创建类：五个类，七张表
　　　　角色表：
　　　　用户表：
　　　　权限表：

　　　　 组表：

　　　　 菜单表：

　　　　角色表和权限表是多对多的关系（一个角色可以有多个权限，一个权限可以对应多个角色）
　　　　用户表和角色表是多对多的关系（一个用户可以有多个角色，一个角色有多个用户）

　　　　所以有会多生成两张关系表

　　　　一个菜单下面有多个组

　　　　一个组下面有多个菜单

　　　　一个菜单下面有多个权限

from django.db import models

# Create your models here.
class Role(models.Model):
    '''
    角色表
    '''
    title = models.CharField(max_length=32,verbose_name="角色名")
    permissions = models.ManyToManyField(to="Permission",verbose_name="具有的所有权限", blank=True)  # 建立用户表和角色表的多对多关系

    def __str__(self):
        return self.title

    class Meta:
        verbose_name_plural = "角色表"

class Group(models.Model):
    caption = models.CharField(max_length=32,verbose_name="组名称")
    menu = models.ForeignKey(to="Menu",verbose_name="所属菜单",default=1,related_name="menu")
class Menu(models.Model):
    title = models.CharField(max_length=32)

class Permission(models.Model):
    '''
    权限表
    '''
    title = models.CharField(max_length=32,verbose_name="标题")
    url = models.CharField(max_length=64,verbose_name="带正则的URL")
    # is_mune = models.BooleanField(verbose_name="是否是菜单",default=0)
    menu_gp = models.ForeignKey(verbose_name="组内菜单",to="Permission",blank=True,null=True)  #自关联
    #主页就可以设置为菜单，当点击菜单的时候才可以做具体的操作
    codes = models.CharField(max_length=32,verbose_name="代码",default=1)
    group = models.ForeignKey(to="Group",verbose_name="所属组",null=True)  #新添加的字段记得设置默认值

    def __str__(self):
        return self.title

    class Meta:
        '''中文显示'''
        verbose_name_plural = "权限表"
class UserInfo(models.Model):
    '''
    用户表
    '''
    username = models.CharField(max_length=32,verbose_name="用户名")
    password = models.CharField(max_length=64,verbose_name="密码")
    email = models.CharField(max_length=32,verbose_name="邮箱")
    roles = models.ManyToManyField(to="Role",verbose_name="具有的所有角色",blank=True)  #建立用户和角色的多对多关系

    def __str__(self):
        return self.username

    class Meta:
        verbose_name_plural = "用户表"

　　三、通过django admin录入权限数据
　　　　- 先创建一个超级用户
　　　　- 用户名 root
　　　　- 密码 zhy123456
　　　　- 在admin.py 中
　　　　　　from rbac import models
　　　　　　admin.site.register(models.Permission)
　　　　　　admin.site.register(models.Role)
　　　　　　admin.site.register(models.UserInfo)
　　　　　　这样的话上去的是英文的，如果你想让中文显示就在类中加一个类
　　　　　　class Meta:
　　　　　　verbose_name_plural = "权限表"
　　　　　　- 当你给关联字段录入数据的时候会有错误提示，那么在类中你的那个关联字段在加一个属性blank = True 可以为空
　　　　　　permissions = models.ManyToManyField(to="Permission",verbose_name="具有的所有权限", blank=True)

　　四、编写登录
　　　　用户登录后：
　　　　　　获取当前用户具有的所有角色
　　　　　　获取当前用户具有的所有权限（并且去重）

　　　　　　#获取当前的用户对象
　　　　　　user = models.UserInfo.objects.filter(username=name,password=password).first()
　　　　　　#获取当前用户的所有角色user.roles.all()
　　　　　　#获取当前用户的所有权限
　　　　　　permission_list = user.roles.all().values("permissions__title","permissions__url","permissions__is_mune").distinct()
　　　　　　print(permission_list)

　　　　　　登录成功之后初始化---把所有的url都拿出来并且保存到session里
　　　　　　　　1、可以建一个server的包，在里面建一个初始化的init_perssion.py文件
　　　　　　　　2、定义函数

#!usr/bin/env python
# -*- coding:utf-8 -*-
from rbac import models
from day7权限管理 import settings
def init_permission(user,request):
    #获取当前的用户对象
    '''
    获取所有权限中的url并放在session中
    :param user:
    :param request:
    :return:
    '''

    #user.roles.all()获取当前用户的所有角色
    #获取当前用户的所有权限
    permission_list = user.roles.all().values(
        "permissions__id",
        "permissions__title",  #用户列表
        "permissions__url",    #url
        "permissions__menu_gp",  #组内菜单id,如果为null表示是菜单
        "permissions__codes",
        "permissions__group_id",
        "permissions__group__menu__title",  #菜单名称
        "permissions__group__menu__id"  #菜单id
    ).distinct()

    print("-----------------",permission_list)
    #菜单相关
    sub_permisson_list = []
    for item in permission_list:
        tpl = {
            "id":item["permissions__id"],
            "title":item["permissions__title"],
            "url":item["permissions__url"],
            "menu_group_id":item["permissions__group_id"],
            "menu_id":item["permissions__group__menu__id"],
            "menu_title":item["permissions__group__menu__title"]
        }
        sub_permisson_list.append(tpl)
    request.session[settings.PERMISSION_MENU_KEY] = sub_permisson_list
    # 1、去掉不是菜单的url
    # 菜单操作
    # menu_list = []
    # for item in permission_list:
    #     if not item["permissions__is_mune"]:  # 如果不是菜单就继续
    #         continue
    #     else:  # 否则是菜单的话就把菜单添加到列表里面
    #         tpl = {
    #             "menu_id": item["permissions__group__menu__id"],
    #             "menu_title": item["permissions__group__menu__title"],
    #             "title": item["permissions__title"],
    #             "url": item["permissions__url"],
    #             "active": False
    #         }
    #         menu_list.append(tpl)
    # request.session[settings.PERMISSION_MENU_KEY] = menu_list  #吧所有的菜单都放在session里面
    # print("xcvxvxv", menu_list)

    # 权限相关
    result = {}
    for item in permission_list:
        group_id = item["permissions__group_id"]
        url =item["permissions__url"]
        code = item["permissions__codes"]
        if group_id in result:
            #如果在说明url和code已经生成了
            result[group_id]["codes"].append(code)
            result[group_id]["urls"].append(url)
        else:
            #如果不在就添加进去
            result[group_id] ={
                "codes":[code,],
                "urls":[url]
            }
    # print(result)
    #吧所有权限中的url字典放到session中
    request.session[settings.PERMISSION_URL_DICT_KEY] = result

    # # 打印的结果如下
    # result = {
    #     1: {
    #         "codes": ["list", "add", "del", "edit"]
    #         "urls": [
    #             "/userinfo/",
    #             "/userinfo/add" ,
    #             "/userinfo/del(\d+)/ ",
    #             "/userinfo/edit(\d+)/ ",
    #         ]
    #     },
    #     2: {
    #         "codes": {"list", "add", "del", "edit"}
    #          "urls": [
    #             "/order",
    #             "/order/add" ,
    #             "/order/del(\d+)/ ",
    #             "/order/edit(\d+)/ ",
    #         ]
    #     }
    # }

　　　五、中间件
　　　　　　- 在setting里设置白名单（不用权限就可以访问）

#白名单
VALID_URL = [
    "/login/",
    "/admin.*/",
    "/index/"
]

# ==================rabc==============
PERMISSION_URL_DICT_KEY="permissions_url_dict"
PERMISSION_MENU_KEY = "menu_list"

MIDDLEWARE = [
    'django.middleware.security.SecurityMiddleware',
    'django.contrib.sessions.middleware.SessionMiddleware',
    'django.middleware.common.CommonMiddleware',
    'django.middleware.csrf.CsrfViewMiddleware',
    'django.contrib.auth.middleware.AuthenticationMiddleware',
    'django.contrib.messages.middleware.MessageMiddleware',
    'django.middleware.clickjacking.XFrameOptionsMiddleware',
    'rbac.middlewears.rbac.Middle',
]

　　　　　　- 获取当前的url请求
　　　　　　- 获取session保存的权限信息

　　　　　　- 循环url进行正则匹配，如果匹配成功就有权访问，不成功就无法访问

用中间件的时候记得要在settings里面配置一下：

#!usr/bin/env python
# -*- coding:utf-8 -*-
import re
from django.shortcuts import render,HttpResponse,redirect
from django.conf import settings
class MiddlewareMixin(object):
    def __init__(self, get_response=None):
        self.get_response = get_response
        super(MiddlewareMixin, self).__init__()

    def __call__(self, request):
        response = None
        if hasattr(self, 'process_request'):
            response = self.process_request(request)
        if not response:
            response = self.get_response(request)
        if hasattr(self, 'process_response'):
            response = self.process_response(request, response)
        return response

class Middle(MiddlewareMixin):
    def process_request(self,request):
        #获取当前的url请求
        current_url = request.path_info #拿到当前的路径
        # print(request.path,current_url)
        #获取Session中保存当前用户的权限，
        # request.session.get("permissions_url_list")
        # 如果当前的路径和session里面保存的url一样就break了,如果不一样就说明无权访问
        for url in settings.VALID_URL:
            # print(url,current_url)
            if re.match(url,current_url):
                return None    #如果url是表名单白名单里面的，就让直接走后面的

        permission_dict = request.session.get(settings.PERMISSION_URL_DICT_KEY)
        #在初始化的时候把url以字典的显示存在了session里面，现在获取的也就是一个字典了
        # print("==========",permission_dict)
        flag = False
        for group_id,code_url in permission_dict.items():
            for url in code_url["urls"]:
                regax = "^{0}$".format(url)
                # print(regax,current_url)
                if re.match(regax,current_url):
                    #match只要是..开头的都能匹配到，多以的加个^和$符
                    request.permission_code_list=code_url["codes"]
                    flag = True
                    break
            if flag:  #跳出外层循环
                break
        if not flag:
            return HttpResponse("无权访问")

    def process_response(self,request,response):
        return response