Django-Vue搭建个人博客:限制用户权限

3743 views, 2021/03/06 updated   Go to Comments

权限是 web 应用的重要组成部分。没有权限控制,任何人都可以对任何资源进行更改操作,那就太恐怖了。

本章来看看 DRF 中如何进行权限管理。

文章与用户

依靠用户身份来限制权限是比较通用的做法。这就需要给文章模型添加用户外键,确定每篇文章的作者了。保险起见,首先删除现有的所有文章数据。

修改文章的 model,让每篇文章都对应一个作者:

# article/models.py

...

from django.contrib.auth.models import User

class Article(models.Model):
    author = models.ForeignKey(
        User, 
        null=True,
        on_delete=models.CASCADE, 
        related_name='articles'
    )
    ...

执行迁移:

> python manage.py makemigrations
> python manage.py migrate

启动服务器后,查看当前文章列表:

> http http://127.0.0.1:8000/api/article/

HTTP/1.1 200 OK
...

[]

空空如也。

接下来就拿文章列表接口开刀。

权限控制

DRF 内置了如 IsAuthenticatedIsAdminUserAllowAny 等权限控制类。

由于是个人博客,因此只准许管理员发布文章。修改文章列表视图如下:

# article/views.py

...
from rest_framework.permissions import IsAdminUser

class ArticleList(generics.ListCreateAPIView):
    ...
    # 新增
    permission_classes = [IsAdminUser]

permission_classes 可以接收一个列表,因此权限控制类可以设置多个,请求必须满足所有控制条件才允许被放行。

测试一下:

> http http://127.0.0.1:8000/api/article/
HTTP/1.1 403 Forbidden
...
{
    "detail": "Authentication credentials were not provided."
}


> http POST http://127.0.0.1:8000/api/article/ title=may body=notSuccess
HTTP/1.1 403 Forbidden
...
{
    "detail": "Authentication credentials were not provided."
}

倒是确实起作用了,但是除了管理员之外其他人连查看都没权限了,显示这不是我们想要的。

好在自定义一个权限类也不难。在文章 app 中创建 article/permissions.py 文件,写入以下代码:

# article/permissions.py

from rest_framework import permissions

class IsAdminUserOrReadOnly(permissions.BasePermission):
    """
    仅管理员用户可进行修改
    其他用户仅可查看
    """
    def has_permission(self, request, view):
        # 对所有人允许 GET, HEAD, OPTIONS 请求
        if request.method in permissions.SAFE_METHODS:
            return True

        # 仅管理员可进行其他操作
        return request.user.is_superuser

自定义的权限类继承了 BasePermission 这个基础的父类,并实现了父类中的钩子方法 def has_permission。此方法在每次请求到来时被唤醒执行,里面简单判断了请求的种类是否安全(即不更改数据的请求),如果安全则直接通过,不安全则只允许管理员用户通过。

再次修改视图:

# article/views.py

...

# from rest_framework.permissions import IsAdminUser
from article.permissions import IsAdminUserOrReadOnly

class ArticleList(generics.ListCreateAPIView):
    ...
    permission_classes = [IsAdminUserOrReadOnly]

# 顺便把详情视图的权限也更改了
class ArticleDetail(generics.RetrieveUpdateDestroyAPIView):
    ...
    permission_classes = [IsAdminUserOrReadOnly]

这就可以了。

首先在命令行测试一下用户未登录时的情况:

> http http://127.0.0.1:8000/api/article/
# GET 请求成功
HTTP/1.1 200 OK
...
[]


> http POST http://127.0.0.1:8000/api/article/ title="post with permission" body="new test"
# POST 请求失败
HTTP/1.1 403 Forbidden
...
{
    "detail": "Authentication credentials were not provided."
}

在后台中创建一个普通用户 Obama(这也是基础,不懂还是参考这篇文章),用普通用户身份进行请求:

# 普通用户 Obama,密码 admin123456

> http -a Obama:admin123456 http://127.0.0.1:8000/api/article/
# GET 请求成功
HTTP/1.1 200 OK
...
[]


> http -a Obama:admin123456 POST http://127.0.0.1:8000/api/article/ title="post with permission" body="new test"
# POST 请求失败    
HTTP/1.1 403 Forbidden
...
{
    "detail": "You do not have permission to perform this action."
}

最后,再用管理员用户 dusai 测试:

# 管理员用户 dusai,密码 admin123456

> http -a dusai:admin123456 http://127.0.0.1:8000/api/article/
# GET 请求成功
HTTP/1.1 200 OK
...
[]


> http -a dusai:admin123456 POST http://127.0.0.1:8000/api/article/ title="post with permission" body="new test"
# POST 请求成功
HTTP/1.1 201 Created
...
{
    "created": "2020-07-03T04:56:26.869523Z",
    "id": 2,
    "title": "post with permission"
}

任何人都可以查看资源;但是新增(CREATE)、更新(PUT)、删除(DELETE)等修改操作就只允许管理员执行。




本文作者: 杜赛
发布时间: 2021年03月06日 - 14:27
最后更新: 2021年03月06日 - 14:27
转载请保留原文链接及作者
本站使用 Github 评论后端。鉴于国内复杂的网络环境,如遇评论无法加载、发表等问题,请尝试刷新页面,或更换上网姿势。