Django-用户权限，用户角色使用指南

RBAC（Role-Based Access Control，基于角色的访问控制）就是用户通过角色与权限进行关联。简单地说，一个用户拥有若干角色，每一个角色拥有若干权限。这样，就构造成“用户-角色-权限”的授权模型。在这种模型中，用户与角色之间，角色与权限之间，一般者是多对多的关系。

简单的权限：如下就是一个简单的权限设计模式，其中包含了用户表，角色表，权限表。

 

图片.png

稍微复杂一点的权限，可能设计到用户表、权限表、角色表、用户组表、额外的权限表，在django中提供了这一些列的权限相关模型，关于权限设计中表的关联关系如下：

 

图片.png

)

1. Django的权限项

Django用permission对象存储权限项，每个model默认都有三个permission，即add model, change model和delete model。例如，定义一个名为学生Student模型，当迁移表后，会在auth_permission中自动创建相应的三个permission：add_student, change_student和delete_student。Django还允许自定义permission。

 

图片.png

2. 创建权限

1） 自定义权限

在自定义模型的Meta元中添加permissions参数，自定义权限的名称（‘codename’，‘name’）即codename为权限名，name为权限的描述。在数据库的auth_permission表中还有一个content_type字段，其表示prmission属于哪个model

from django.db import models

class Users(AbstractUser):
    """
    管理员---拓展User表
    """
    class Meta:
        permissions = (
            ('add_user_per', '添加用户权限'),
            ('del_user_per', '删除用户权限'),
            ('change_user_per', '修改用户权限'),
            ('sel_user_per', '查询用户权限')
        )

并在settings.py文件中添加如下设置：

AUTH_USER_MODEL = 'users.Users'

注意：在数据库的auth_permission表中，会新增权限，包括自带的对Users管理的权限，和自定义的四个权限。

如下所示：

[图片上传失败...(image-ee6095-1537444192584)]

2）创建权限

上面的方法是在定义模型的时候自定义权限，也可理解为创建系统的内置权限，如果涉及到在业务逻辑中创建权限，则可以通过Permission模型来创建权限

url(r'^add_user_permission/', views.add_user_permission,name='add_user_permission'),

from django.contrib.auth.models import Permission
from django.contrib.contenttypes.models import ContentType
from django.http import HttpResponse

from users.models import Users

def add_user_permission(request):
    if request.method == 'GET':
        # 获取当前Users模型的id值
        content_type = ContentType.objects.get_for_model(Users)
        # codename为权限名，name为描述，content_type为当前权限属于哪一个模型的ID
        Permission.objects.create(codename='add_other_user_permission',
                                  name='添加其他用户权限',
                                  content_type=content_type)
        return HttpResponse('创建权限成功')

3.分配权限

1）给用户直接添加某种权限

采用直接分配权限的方法，给用户添加额外的权限既用户表Users和权限Permission模型以及中间表user_permission之间的关联关系。用户Users模型和权限Permission之间是ManyToManyField()多对多关联关系，关联字段为user_permission。

语法:

添加权限：user对象.user_permission.add(permission对象1, permission对象2)

删除权限：user对象.user_permission.remove(permission对象1, permission对象2)

清空权限：user对象.user_permission.clear()

url(r'^add_permission/', views.add_permission, name='add_permission'),

from django.contrib.auth.models import Permission, User

def add_permission(request):
    if request.method == 'GET':
        # 获取id=1d的用户对象
        user = Users.objects.get(id=1)
        # 给该用户添加权限
        pers = Permission.objects.filter(codename__in=['add_user_per', 'del_user_per'])
        for per in pers:
            # 添加用户权限
            user.user_permissions.add(per)
            #删除权限
            # user.user_permissions.remove(per)
        # 清空权限
        user.user_permissions.clear()
        return HttpResponse('创建权限成功')

2）创建组并分配对应组的权限

给组添加权限，涉及到组group表和permission权限表，以及中间关联表。其为ManyToManyFiled()关联关系，关联字段为permissions 语法:

添加权限：group对象.permissions.add(permission对象1, permission对象2)

删除权限：group对象.permissions.remove(permission对象1, permission对象2)

清空权限：group对象.permissions.clear()

url(r'^group_permission/', views.group_permission, name='group_permission'),

def group_permission(request):
    if request.method == 'GET':
        # 创建超级管理用户组并给用户组增加对用户进行CRUD的权限
        super_group = Group.objects.create(name='超级管理员')
        pers = Permission.objects.filter(codename__in=['add_user_per', 'del_user_per', 'change_user_per', 'sel_user_per'])
        for per in pers:
            # 添加超级用户组的权限
            super_group.permissions.add(per)
            # 删除超级组的权限
            super_group.permissions.remove(per)
        # 清空组的权限
        super_group.permissions.clear()
        return HttpResponse('创建组权限')

3）分配用户和权限组

给用户添加组权限，涉及到组group表和user用户表，以及中间关联表。其为ManyToManyFiled()关联关系，关联字段为groups 语法:

添加权限：user对象.groups.add(groups对象1, groups对象2)

删除权限：user对象.groups.remove(groups对象1, groups对象2)

清空权限：user对象.groups.clear()

url(r'^user_group/', views.user_group, name='user_group'),

def user_group(request):
    if request.method == 'GET':
        # 给id为1的用户分配超级管理员组的权限
        # 获取超级管理员组group对象
        super_group = Group.objects.get(name='超级管理员')
        # 获取id=1d的用户对象
        user = Users.objects.get(id=1)
        # 添加超级用户组的权限
        user.groups.add(super_group)
        # 删除超级组的权限
        # user.groups.remove(super_group)
        # 清空组的权限
        # user.groups.clear()
        return HttpResponse('创建用户组权限')

4. 检测用户是否有某权限,和所有权限，组权限

语法：用户对象.has_perm('模型名.权限codename')

查询用户所有的权限：user.get_all_permissions()方法列出用户的所有权限，返回值是permission name

查询用户的组权限：user.get_group_permissions()方法列出用户所属group的权限，返回值是permission name

def user_permission(request):
    if request.method == 'GET':
        # 获取id=1d的用户对象
        user = Users.objects.get(id=1)
        # 查看用户的所有权限
        all_perm = user.get_all_permissions()
        # 查看用户的组权限
        group_perm = user.get_group_permissions()
        # 查询用户是否有add_user_per权限
        if user.has_perm('users.add_user_per'):
            return HttpResponse('用户有add_user_per权限')
        else:
            return HttpResponse('用户没有add_user_per权限')

5. 权限校验，使用permission_required装饰器

使用permission_required对权限进行校验，如果没有当前登录系统的用户没有该权限则跳转到登录页面，如果当前用户有该权限，则进行访问对应的视图函数。

语法：@permission_required('应用app名.权限名codename')

url(r'^add_user_html/', views.add_user_html, name='add_user_html'),

from django.contrib.auth.decorators import permission_required

@permission_required('users.add_users')
def add_user_html(request):
    if request.method == 'GET':
        return HttpResponse('该方法需要添加用户权限才可访问')

6. 测试

定义登录的路由，并实现登录操作，当用户登录后，再次访问add_user_html路由地址，则可以访问到对应的视图函数，如果用户没有登录则因为权限问题访问不了add_user_html路由对应的视图函数。

7. 首页index.html中通过权限控制按钮

在模版中使用：模版中使用全局变量perms存储当前用户的所有权限。通过{{ perms.应用名 }}可打印出所有的权限。

在模板中也可以直接通过{{ user }}获取当前登录系统的用户信息。

使用语法格式：

{% if perms.应用名.权限标识 %}
    <!-- 这里是有权限才显示的内容 -->
{% endif %}

首页index.html中如下控制按钮的权限：

{% extends 'base.html' %}

{% block title %}
    首页
{% endblock %}

{% block content %}

    <!--模版中使用全局变量perms存储当前用户的所有权限-->
    {{ perms.users }}
    <!--判断当前用户是否为超级管理员-->
    {{ user.is_superuser }}

    {% if user.is_superuser or perms.users.add_user_per %}
        <p>添加用户管理</p>
    {% endif %}
    {% if user.is_superuser or perms.users.del_user_per %}
        <p>删除用户管理</p>
    {% endif %}
    {% if user.is_superuser or perms.users.change_user_per %}
        <p>修改用户管理</p>
    {% endif %}
    {% if user.is_superuser or perms.users.sel_user_per %}
        <p>查询用户管理</p>
    {% endif %}
{% endblock %}