Django

本文集文档发布于灏天文库

6.2 Django 权限系统 (Authorization)

文档摘要

6.2 Django 权限系统 (Authorization) 6.2 Django 权限系统 (Authorization) 详解 6.2.1 权限系统概述 Django的权限系统是一个强大且灵活的框架，它允许开发者精细地控制用户对应用资源的访问。通过权限系统，我们可以定义用户或用户组可以执行的操作，例如： 模型操作权限 (Model Permissions): 控制用户对模型实例的增、删、改、查 (CRUD) 操作权限。例如，允许特定用户创建博客文章，但只允许管理员删除。 自定义权限 (Custom Permissions): 针对特定业务逻辑或功能定义的权限，例如，允许用户发布文章、审核评论、管理用户等。

6.2 Django 权限系统 (Authorization)

6.2 Django 权限系统 (Authorization) 详解

6.2.1 权限系统概述

Django的权限系统是一个强大且灵活的框架，它允许开发者精细地控制用户对应用资源的访问。通过权限系统，我们可以定义用户或用户组可以执行的操作，例如：

  • 模型操作权限 (Model Permissions): 控制用户对模型实例的增、删、改、查 (CRUD) 操作权限。例如，允许特定用户创建博客文章，但只允许管理员删除。

  • 自定义权限 (Custom Permissions): 针对特定业务逻辑或功能定义的权限，例如，允许用户发布文章、审核评论、管理用户等。

  • 对象级别权限 (Object-Level Permissions): 更细粒度的权限控制，基于单个模型实例进行授权。例如，只允许文章作者修改自己的文章。

Django的权限系统主要围绕以下几个核心概念展开：

  • 权限 (Permissions): 代表着用户可以执行的特定操作，例如 add_blogpost (添加博客文章), change_blogpost (修改博客文章), delete_blogpost (删除博客文章), view_blogpost (查看博客文章)。

  • 用户 (Users): 系统中实际操作的主体，每个用户都拥有一定的权限。Django内置了 User 模型，可以满足大部分应用的需求。

  • 用户组 (Groups): 将用户组织成逻辑上的分组，方便批量管理权限。一个用户可以属于多个用户组，一个用户组可以拥有多个权限。

  • 模型 (Models): 权限通常与模型相关联，用于控制用户对模型数据的操作。Django的模型系统与权限系统紧密结合。

权限系统工作流程可视化：

上图展示了Django权限系统的工作流程：当用户尝试执行某个操作时，系统会进行权限检查。如果用户拥有执行该操作所需的权限，则操作被允许执行；否则，系统会拒绝访问并返回相应的错误信息。

6.2.2 Django 内置权限机制

Django 权限系统提供了多种内置机制来管理和应用权限，主要包括：

6.2.2.1 模型默认权限 (Default Model Permissions)

Django 会为每个模型自动创建默认的四种权限：add, change, delete, 和 view。这些权限分别对应着模型实例的创建、修改、删除和查看操作。权限的名称格式为 <app_label>.<action>_<model_name>。

例如，对于一个名为 Blog 的应用下的 Post 模型，Django 会自动创建以下权限：

  • blog.add_post

  • blog.change_post

  • blog.delete_post

  • blog.view_post

这些默认权限会在执行 python manage.py migrate 命令时，由Django的迁移系统自动创建到数据库的 auth_permission 表中。

代码实践：查看默认模型权限

假设我们有一个名为 blog 的 Django 应用，其中定义了一个 Post 模型。我们可以通过 Django shell 查看 Post 模型默认生成的权限：

from django.contrib.auth.models import Permission
from django.contrib.contenttypes.models import ContentType
from blog.models import Post
content_type = ContentType.objects.get_for_model(Post)
permissions = Permission.objects.filter(content_type=content_type)
for perm in permissions:
    print(perm.codename, perm.name)
​

运行上述代码，你将看到类似如下输出，展示了 Post 模型的默认权限：

add_post Can add post
change_post Can change post
delete_post Can delete post
view_post Can view post
​

6.2.2.2 自定义模型权限 (Custom Model Permissions)

除了默认权限外，我们还可以为模型定义自定义权限，以满足更具体的业务需求。自定义权限需要在模型的 Meta 类中通过 permissions 属性进行声明。

代码实践：定义自定义模型权限

修改 blog/models.py 文件，为 Post 模型添加自定义权限 publish_post (发布文章):

from django.db import models
class Post(models.Model):
    title = models.CharField(max_length=200)
    content = models.TextField()
    author = models.ForeignKey('auth.User', on_delete=models.CASCADE)
    published_date = models.DateTimeField(blank=True, null=True)
    class Meta:
        permissions = [
            ("publish_post", "Can publish post"), # 自定义权限
        ]
    def __str__(self):
        return self.title
​

修改模型定义后，需要执行数据库迁移命令来同步权限信息：

python manage.py makemigrations blog
python manage.py migrate
​

现在，Post 模型除了默认的 CRUD 和 view 权限外，还拥有了一个自定义权限 publish_post。

6.2.2.3 权限的赋予与检查

Django 提供了多种方式来赋予用户权限，并将权限应用于视图、模板等不同场景。

1. 赋予权限给用户和用户组

  • 通过 Django Admin 后台: Django Admin 界面提供了友好的权限管理功能。管理员可以在用户或用户组的管理页面中，勾选相应的权限来赋予用户或用户组。

  • 通过代码: 可以使用 User 和 Group 对象的 user_permissions 和 permissions 属性来直接添加或移除权限。

    from django.contrib.auth.models import User, Group, Permission
from django.contrib.contenttypes.models import ContentType
from blog.models import Post
# 获取用户和用户组
user = User.objects.get(username='testuser')
group = Group.objects.get(name='Editors')
# 获取权限对象 (例如：publish_post 权限)
content_type = ContentType.objects.get_for_model(Post)
publish_permission = Permission.objects.get(
    codename='publish_post',
    content_type=content_type,
)
# 赋予用户特定权限
user.user_permissions.add(publish_permission)
# 赋予用户组特定权限
group.permissions.add(publish_permission)
# 将用户添加到用户组
group.user_set.add(user)
​

2. 权限检查

Django 提供了多种方法来检查用户是否拥有特定权限：

  • user.has_perm(permission_string): User 对象的方法，用于检查用户是否拥有指定的权限。permission_string 的格式为 <app_label>.<codename>。

    user = User.objects.get(username='testuser')
if user.has_perm('blog.publish_post'):
    print("User has permission to publish posts.")
else:
    print("User does not have permission to publish posts.")
​

  • permission_required 装饰器 (Decorator): 用于函数视图，限制只有拥有特定权限的用户才能访问该视图。

    from django.contrib.auth.decorators import permission_required
from django.shortcuts import render
@permission_required('blog.publish_post')
def publish_post_view(request):
    # 只有拥有 'blog.publish_post' 权限的用户才能访问
    return render(request, 'blog/publish_post.html')
​

  • PermissionRequiredMixin 混入类 (Mixin): 用于类视图，提供权限检查功能。

    from django.contrib.auth.mixins import PermissionRequiredMixin
from django.views.generic import View
from django.shortcuts import render
class PublishPostView(PermissionRequiredMixin, View):
    permission_required = 'blog.publish_post' # 需要的权限
    def get(self, request):
        return render(request, 'blog/publish_post.html')
​

  • {% permission_required %} 模板标签 (Template Tag): 在模板中进行权限检查，根据用户权限决定是否显示特定内容。

    {% load auth_tags %}
{% permission_required 'blog.publish_post' %}
    <a href="{% url 'publish_post' %}">发布文章</a>
{% endpermission_required %}
​

权限检查流程可视化：

上图概括了 Django 中几种常用的权限检查方式及其流程。开发者可以根据不同的场景选择合适的权限检查方法。

6.2.3 用户组 (Groups) 的应用

用户组是权限管理中非常重要的概念。通过将用户组织成不同的组，并为组赋予相应的权限，可以大大简化权限管理工作，提高效率。

应用场景示例：

假设一个博客系统，需要区分以下几种角色：

  • 普通用户 (Readers): 只能查看文章。

  • 作者 (Authors): 可以创建、修改自己的文章，查看所有文章。

  • 编辑 (Editors): 可以创建、修改、删除所有文章，审核评论，管理用户。

  • 管理员 (Administrators): 拥有所有权限，包括系统配置、权限管理等。

我们可以创建相应的用户组，并为每个用户组分配不同的权限：

  • Readers 组: 拥有 blog.view_post 权限。

  • Authors 组: 拥有 blog.add_post, blog.change_post (仅限自己的文章), blog.view_post 权限。

  • Editors 组: 拥有 blog.add_post, blog.change_post, blog.delete_post, blog.view_post, 以及评论审核、用户管理等相关权限。

  • Administrators 组: 拥有所有权限 (通常通过 is_superuser 标志实现，而非显式赋予所有权限)。

代码实践：创建用户组并赋予权限

from django.contrib.auth.models import Group, Permission
from django.contrib.contenttypes.models import ContentType
from blog.models import Post
# 创建用户组
editors_group = Group.objects.create(name='Editors')
authors_group = Group.objects.create(name='Authors')
readers_group = Group.objects.create(name='Readers')
# 获取 Post 模型的 ContentType
content_type = ContentType.objects.get_for_model(Post)
# 获取权限对象
add_post_perm = Permission.objects.get(codename='add_post', content_type=content_type)
change_post_perm = Permission.objects.get(codename='change_post', content_type=content_type)
delete_post_perm = Permission.objects.get(codename='delete_post', content_type=content_type)
view_post_perm = Permission.objects.get(codename='view_post', content_type=content_type)
publish_post_perm = Permission.objects.get(codename='publish_post', content_type=content_type) # 自定义权限
# 为 Editors 组赋予权限
editors_group.permissions.add(add_post_perm, change_post_perm, delete_post_perm, view_post_perm, publish_post_perm)
# 为 Authors 组赋予权限
authors_group.permissions.add(add_post_perm, change_post_perm, view_post_perm, publish_post_perm) # 作者可以发布文章
# 为 Readers 组赋予权限
readers_group.permissions.add(view_post_perm)
​

之后，只需要将用户添加到对应的用户组，即可自动获得该用户组拥有的所有权限。当用户角色发生变化时，只需要修改用户所属的用户组，而无需单独修改用户的权限，大大简化了权限管理。

用户组权限管理可视化：

上图展示了用户组在权限管理中的作用：用户通过所属的用户组间接获得权限，用户组负责管理权限集合，简化了用户权限的批量管理。

6.2.4 对象级别权限 (Object-Level Permissions) 简介

Django 内置的权限系统主要关注模型级别的权限，即控制用户对整个模型类型的操作权限。但在很多实际应用中，我们需要更细粒度的控制，即对象级别权限。例如：

  • 只允许文章作者修改自己的文章。

  • 只允许项目负责人查看项目相关的敏感信息。

  • 不同用户对同一篇文章拥有不同的评论权限 (例如，作者可以删除所有评论，普通用户只能删除自己的评论)。

Django 自身并没有提供内置的对象级别权限系统，但可以通过第三方库 (例如 django-guardian) 或自定义实现来扩展 Django 的权限系统，以支持对象级别权限控制。

对象级别权限基本思路：

  1. 定义权限检查逻辑: 针对具体的模型和操作，编写代码来判断用户是否拥有对特定模型实例的权限。这通常涉及到检查用户与模型实例的关系 (例如，文章作者、项目负责人等)。

  2. 在视图中应用权限检查: 在视图函数或类视图中，获取要操作的模型实例，并调用自定义的权限检查逻辑。如果用户没有权限，则返回 403 错误。

代码实践 (对象级别权限简单示例):

假设我们需要实现只允许文章作者修改自己的文章的功能。

修改 blog/views.py (简化示例):

from django.shortcuts import render, get_object_or_404, redirect
from django.views import View
from .models import Post
from django.contrib.auth.mixins import LoginRequiredMixin
from django.http import HttpResponseForbidden
class PostEditView(LoginRequiredMixin, View):
    def get(self, request, pk):
        post = get_object_or_404(Post, pk=pk)
        if post.author != request.user: # 对象级别权限检查：判断是否是作者
            return HttpResponseForbidden("您没有权限修改这篇文章!")
        return render(request, 'blog/post_edit.html', {'post': post})
    # ... post 方法处理表单提交 ...
​

在 PostEditView 中，我们首先获取要编辑的 Post 实例，然后进行对象级别权限检查：判断当前登录用户 request.user 是否是文章的作者 post.author。如果不是作者，则返回 403 错误。

对象级别权限可视化：

上图展示了对象级别权限检查的核心思想：权限判断不再仅仅基于用户和权限类型，而是需要结合用户与具体操作对象之间的关系进行判断。

6.2.5 权限设计最佳实践

  • 最小权限原则 (Principle of Least Privilege): 只赋予用户完成其工作所需的最小权限。避免过度授权，降低安全风险。

  • 使用用户组进行权限管理: 尽量使用用户组来管理权限，简化权限分配和维护。

  • 清晰命名权限: 为权限选择具有描述性的名称，方便理解和管理。例如，blog.publish_post 比 blog.perm_1 更易于理解。

  • 文档化权限设计: 清晰记录应用中的权限设计，包括每个权限的含义、哪些用户组或角色拥有该权限等。

  • 定期审查权限: 定期审查和更新权限配置，确保权限设置与实际业务需求保持一致。移除不再需要的权限，调整不合理的权限分配。

  • 测试权限控制: 在开发过程中，充分测试权限控制逻辑，确保权限系统按照预期工作，防止权限绕过或漏洞。

6.2.6 总结

Django 的权限系统为 Web 应用提供了强大的授权能力。通过理解和灵活运用 Django 的权限机制，我们可以构建安全可靠的应用，精细化地控制用户对应用资源的访问。本章节深入探讨了 Django 权限系统的核心概念、内置机制、代码实践以及最佳实践，希望能帮助开发者更好地理解和应用 Django 的权限系统，构建更安全、更健壮的 Web 应用。 在实际开发中，根据应用的需求选择合适的权限控制粒度 (模型级别或对象级别)，并结合用户组和自定义权限，可以构建灵活而强大的权限管理体系。

发布者: 作者: 转发
评论区 (0)
U
0/500