Django中的权限系统

Django中已经为我们设置好了基本的权限系统，在定义好model同步数据库后，在每个库下面都会有一张 'auth_permission' 表。该表里面记录了每条权限的描述(name字段，can do something，会显示在后台付权限的列表中)和名字(codename字段，代码逻辑中检查权限使用，该字段会在权限验证函数perm_check中被 'request.user.has_perm' 方法调用，来判断是否通过验证。)

权限系统的基本逻辑流程:

• 1、用户发起操作请求时，根据url匹配到相应的试图函数处理(返回相关信息)
• 2、在给用户返回信息之前，首先验证该用户是否有权限查看所请求的信息(装饰器)
• 3、装饰器函数中，通过监测用户http请求的url、method和参数来确定权限
• 4、若验证通过，返回查询信息(执行被装饰器装饰的函数)。若验证不通过，返回 403 页面

1、在每个给前端返回信息的views函数上添加装饰器，

from permissions import check_permission ＃导入方法

@check_permission    ＃向前段页面返回客户信息时，先执行装饰器方法，验证是否有权限
def customer(request):
    ，，，

@check_permission     
def customer_info(request,customer_id):
　　，，，

2、model中添加规则(数据库中添加权限纪录)

class UserProfile(models.Model):
    user = models.OneToOneField(User)
    name = models.CharField(u"姓名",max_length=32)
    def __unicode__(self):
        return self.name
    class Meta:
        verbose_name_plural = u'用户信息'

        permissions = (                                        ＃可以在任一表中添加
            ('views_customer_list','显示列表信息'),
            ('views_customer_info','显示每条详细信息'),
            ('edit_views_culstomer_info','修改详细信息'),
        )

修改了models.py文件后，需要同步到数据库。

sudo python manage.py makemigrations

sudo python manage.py migrate

3、定义权限匹配方法

appname/permission.py

#!_*_ coding:utf-8 _*_

from django.core.urlresolvers import resolve
from django.shortcuts import render,redirect

perm_dic ={
    'views_customer_list':['customer_list','GET',[]],   #请求到达时,先匹配url,然后匹配请求方法,最后匹配参数,若都通过,则付给views_customer_list的权限
    'views_customer_info':['customer_info','GET',[]],
    'edit_views_customer_info':['customer_info','POST',['test']]   #这里['test']可以随便填写
}

#不确定函数参数时,用 *args,**kwargs
def perm_check(*args,**kwargs):
    request = args[0]
    #反向映射,将客户端请求的url转换为url别名,request.path_info为请求的完整url
    url_resovle_obj = resolve(request.path_info)
    #获取url别名
    current_url_namespace = url_resovle_obj.url_name
    #设置标示符,要匹配(循环)好多层时,可以先设置一个标示符,这里默认不匹配
    matched_flag = False
    matched_perm_key = None
    #如果存在url别名(url中必须有别名)
    if current_url_namespace is not None:
        #循环别名字典,取key值,即别名
        for perm_key in perm_dic:
            #字典里所有的值
            perm_val = perm_dic[perm_key]
            #格式必须为3个参数
            if len(perm_val) == 3:
                url_namespace,request_method,request_args = perm_val
                #先判断url是否匹配
                if url_namespace == current_url_namespace:
                    #再判断请求方法是否匹配
                    if request.method == request_method:
                        #如果别名字典(perm_dic)中参数[]为空,则直匹配前两者即可
                        if not request_args:
                            #匹配成功
                            matched_flag = True
                            #将别名(字典key)付值给matched_perm_key
                            matched_perm_key = perm_key
                            #已匹配成功,退出循环
                            break
                        else:     #字典中如果有参数,(参数可能有多个)
                            #循环所有的参数
                            for request_arg in request_args:
                                #反射获取客户端请求的方法,这样就不用判断是get还是post了
                                request_method_func = getattr(request,request_method)
                                #如果请求的每个参数都能匹配成功
                                if request_method_func.get(request_arg) is not None:
                                    matched_flag = True #匹配成功
                                else:
                                    matched_flag = False
                                    break
                            #如果全都匹配成功
                            if matched_flag == True:
                                matched_perm_key = perm_key
                                break
    else:
        #如果没有进行权限匹配,则默认通过
        return True
    #如果权限匹配全部通过
    if matched_flag == True:
        #stu_crm.views_customer_list
        perm_str = "stu_crm.%s" %(matched_perm_key)
        #.has_perm()方法django自带,其参数为appname+auth_permission表中的codename字段,如果有此权限,则返回True
        if request.user.has_perm(perm_str):
            return True
        else:
            return False
    else:
        print("\033[41;1m ----- no matched permission  ----\033[0m")

def check_permission(func):
    def wrapper(*args,**kwargs):
        #如果没权限
        if not perm_check(*args,**kwargs):
            #args[0]即为request
            return render(args[0],'stu_crm/403.html')
        return func(*args,**kwargs)
    return wrapper

4、修改customer.html，将固定的url用别名代替

<td><a href="{% url 'customer_info' customer.id %}">{{ customer.id }}</a></td>

5、修改url转发规则,加入别名

appname/urls.py

urlpatterns = [
    url(r'^$',views.dashboard),
    url(r'^customer/$',views.customer,name='customer_list'),
    url(r'^customer/(\d+)/$',views.customer_info,name='customer_info'),    #必须添加url别名
]

6、定义403页面。

templates/403.html

设置完毕后，使用超级用户登陆admin后台，在user中对每个普通用户设置权限。每添加一条权限，在表 'auth_user_user_permissions' 中就会记录一条。

注:应首先使用超级用户将普通用户的'Staff status'选项选中，以便首先允许其登陆。