Django 權限機制的實現

本文首發於Gevin的博客

原文連接：Django權限機制的實現

未經 Gevin 受權，禁止轉載

Django權限機制的實現

本文涉及的技術，已應用於我基於django 1.8+ 開發的博客系統——MayBlog，歡迎交流。

1. Django權限機制概述

權限機制可以約束用戶行爲，控制頁面的顯示內容，也能使API更加安全和靈活；用好權限機制，能讓系統更增強大和健壯。所以，基於Django的開發，理清Django權限機制是很是必要的。

1.1 Django的權限控制

Django用user, group和permission完成了權限機制，這個權限機制是將屬於model的某個permission賦予user或group，能夠理解爲全局的權限，即若是用戶A對數據模型（model）B有可寫權限，那麼A能修改model B的全部實例（objects）。group的權限也是如此，若是爲group C 賦予model B的可寫權限，則隸屬於group C 的全部用戶，均可以修改model B的全部實例。

這種權限機制只能解決一些簡單的應用需求，而大部分應用場景下，須要更細分的權限機制。以博客系統爲例，博客系統的用戶可分爲『管理員』、『編輯』、『做者』和『讀者』四個用戶組；博客系統管理員和編輯具備查看、修改和刪除全部的文章的權限，做者只能修改和刪除本身寫的文章，而讀者則只有閱讀權限。管理員、編輯和讀者的權限，咱們能夠用全局權限作控制，而對於做者，全局權限沒法知足需求，僅經過全局權限，要麼容許做者編輯不屬於本身的文章，要麼讓做者連本身的文章都沒法修改。

上述的應用場景，Django自帶的權限機制沒法知足需求，須要引入另外一種更細的權限機制：對象權限（object permission）。

Object Permission是一種對象顆粒度上的權限機制，它容許爲每一個具體對象受權。仍沿用最開始的例子，若是model B有三個實例 B1，B2 和B3，若是咱們把B1的可寫權限賦予用戶A，則A能夠修改B1對象，而對B2，B3沒法修改。對group也同樣，若是將B2的可寫權限賦予group C，則隸屬於group C的全部用戶都可以修改B2，但沒法修改B1和B3。結合Django自帶權限機制和object permission，博客系統中做者的權限控制迎刃而解：系統全局上不容許做者編輯文章，而對於屬於做者的具體文章，賦予編輯權限便可。

Django其實包含了object permission的框架，但沒有具體實現，object permission的實現須要藉助第三方app django-guardian，咱們在開發中用調用django guradian封裝好的方法便可。

1.2 Django的權限項

Django用permission對象存儲權限項，每一個model默認都有三個permission，即add model, change model和delete model。例如，定義一個名爲『Car』model，定義好Car以後，會自動建立相應的三個permission：add_car, change_car和delete_car。Django還容許自定義permission，例如，咱們能夠爲Car建立新的權限項：drive_car, clean_car, fix_car等等

須要注意的是，permission老是與model對應的，若是一個object不是model的實例，咱們沒法爲它建立/分配權限。

2. Django 自帶權限機制的應用

2.1 Permission

如上文所述，Django定義每一個model後，默認都會添加該model的add, change和delete三個permission，自定義的permission能夠在咱們定義model時手動添加：

class Task(models.Model):
    ...
    class Meta:
        permissions = (
            ("view_task", "Can see available tasks"),
            ("change_task_status", "Can change the status of tasks"),
            ("close_task", "Can remove a task by setting its status as closed"),
        )複製代碼

每一個permission都是django.contrib.auth.Permission類型的實例，該類型包含三個字段name, codename 和 content_type，其中 content_type反應了permission屬於哪一個model，codename如上面的view_task，代碼邏輯中檢查權限時要用， name是permission的描述，將permission打印到屏幕或頁面時默認顯示的就是name

在model中建立自定義權限，從系統開發的角度，可理解爲建立系統的內置權限，若是需求中涉及到用戶使用系統時建立自定義權限，則要經過下面方法：

from myapp.models import BlogPost
from django.contrib.auth.models import Permission
from django.contrib.contenttypes.models import ContentType

content_type = ContentType.objects.get_for_model(BlogPost)
permission = Permission.objects.create(codename='can_publish',
                                       name='Can Publish Posts',
                                       content_type=content_type)複製代碼

2.2 User Permission管理

User對象的user_permission字段管理用戶的權限：

myuser.user_permissions = [permission_list]
myuser.user_permissions.add(permission, permission, ...) #增長權限
myuser.user_permissions.remove(permission, permission, ...) #刪除權限
myuser.user_permissions.clear() #清空權限

##############################################################
# 注：上面的permission爲django.contrib.auth.Permission類型的實例
##############################################################複製代碼

檢查用戶權限用has_perm()方法：

myuser.has_perm('myapp.fix_car')複製代碼

has_perm()方法的參數，即permission的codename，但傳遞參數時須要加上model 所屬app的前綴，格式爲<app label>.<permission codename>。

不管permission賦予user仍是group，has_perm()方法均適用

附註：

user.get_all_permissions()方法列出用戶的全部權限，返回值是permission name的list
user.get_group_permissions()方法列出用戶所屬group的權限，返回值是permission name的list

2.3 Group Permission管理

group permission管理邏輯與user permission管理一致，group中使用permissions字段作權限管理：

group.permissions = [permission_list]
group.permissions.add(permission, permission, ...)
group.permissions.remove(permission, permission, ...)
group.permissions.clear()複製代碼

權限檢查：

依然使用user.has_perm()方法。

2.4 permission_required 裝飾器

權限能約束用戶行爲，當業務邏輯中涉及到權限檢查時，decorator可以分離權限驗證和核心的業務邏輯，使代碼更簡潔，邏輯更清晰。permission的decorator爲permission_required：

from django.contrib.auth.decorators import permission_required

@permission_required('car.drive_car')
def my_view(request):
    ...複製代碼

2.5 Template中的權限檢查

Template中使用全局變量perms存儲當前用戶的全部權限，權限檢查能夠參考下面例子：

{% if perms.main.add_page %}
            <li class="dropdown">
              <a href="#" class="dropdown-toggle" data-toggle="dropdown" role="button" aria-expanded="false">Pages <span class="caret"></span></a>
              <ul class="dropdown-menu" role="menu">
                <li><a href="{% url 'main:admin_pages' %}">All Pages</a></li>
                <li><a href="{% url 'main:admin_page' %}">New Page</a></li>
                <li><a href="{% url 'main:admin_pages' %}?draft=true">Drafts</a></li>
              </ul>
            </li>
{% endif %}複製代碼

3. 基於Django-guardian的object permission的應用

Django-guardian基於django的原生邏輯擴展了django的權限機制，應用django-guardian後，可使用django-guardian提供的方法以及django的原生方法檢查全局權限，django-guardian提供的object permission機制使django的權限機制更加完善。

django-guardian詳細的使用文檔請參考官方文檔，其object permission經常使用方法以下：

from guardian.shortcuts import assign_perm, get_perms
from guardian.core import ObjectPermissionChecker
from guardian.decorators import permission_required複製代碼

3.1 添加object permission

添加object permission使用assign_perm()方法，如爲用戶添加對mycar對象的drive_car權限：

assign_perm('myapp.drive_car', request.user, mycar)複製代碼

assign_perm()方法也可用於group

assign_perm('myapp.drive_car', mygroup, mycar)複製代碼

3.2 權限檢查

3.2.1 Global permission

get_perms()方法用於檢查用戶的「全局權限」（global permission），與user.has_perm()殊途同歸，如：

#############################
# It works! 
#############################
 if not 'main.change_post' in get_perms(request.user, post):
     raise HttpResponse('Forbidden')

#############################
# It works, too!
#############################
if not request.user.has_perm('main.change_post')
    return HttpResponse('Forbidden')複製代碼

例子中雖然把post object做爲參數傳給get_perms()方法，但它只檢查user的全局權限中是否有main.change_post權限，不少狀況下可用原生的user.has_perm取代，但user和group都可做爲get_perms()的傳入參數，某些狀況下可使代碼更簡潔。

3.2.2 Object permission

Django-guardian中使用ObjectPermissionChecker檢查用戶的object permission，示例以下：

checker = ObjectPermissionChecker(request.user)
print checker.has_perm('main.change_post', post)複製代碼

3.3 permission_required裝飾器

guardian.decorators.permission_required是django-guardian權限檢查的decorator，既能夠檢查全局權限，又能夠檢查對象權限（object permission），其中，accept_global_perms參數指出是否檢查user的global permission，如：

from guardian.decorators import permission_required

class DeletePost(View):
 @method_decorator(permission_required('main.delete_post', 
                            (models.Post, 'id', 'pk'), 
                            accept_global_perms=True))
    def get(self, request, pk):
        try:
            pk = int(pk)
            cur_post = models.Post.objects.get(pk=pk)
            is_draft = cur_post.is_draft

            url = reverse('main:admin_posts')
            if is_draft:
                url = '{0}?draft=true'.format(url)    
            cur_post.delete()
        except models.Post.DoesNotExist:
            raise Http404

        return redirect(url)複製代碼

注：

decorator中的(models.Post, 'id', 'pk')部分，用於指定object實例，若是忽略這個參數，則不論accept_global_perms值爲True仍是False，均僅僅檢查全局權限。

4. 結論

Django原生提供了一種簡單的全局權限（global permission）控制機制，但不少應用場景下，對象權限（object permission）更加有用；django-guardian是目前比較活躍的一個django extension，提供了一種有效的object permission控制機制，與django原生機制一脈相承，推薦使用。