drf 許可權校驗設置與源碼分析

2020 年 11 月 1 日
筆記
django

許可權校驗

　　許可權校驗和認證校驗必須同時使用，並且許可權校驗是排在認證校驗之後的，這在源碼中可以查找到其執行順序。

　　許可權校驗也很重要，認證校驗可以確保一個用戶登錄之後才能對介面做操作，而許可權校驗可以依據這個登錄用戶的類型來限定能對介面做那些操作。

準備工作

模型表

　　下面是模型表，對於不同等級的用戶，訪問同一url，能夠獲取到的電影內容也不一樣。

from django.db import models


# Create your models here.

class User(models.Model):
    user_id = models.AutoField(primary_key=True)
    user_name = models.CharField(max_length=32)
    user_password = models.CharField(max_length=32)
    user_type = models.IntegerField(choices=(
        [0,"普通用戶"],
        [1,"黃金VIP"],
        [2,"鑽石VIP"],
    ))
    user_token = models.CharField(max_length=64, null=True, unique=True)

class Film(models.Model):
    film_id = models.AutoField(primary_key=True)
    film_name = models.CharField(max_length=32)
    film_grade = models.IntegerField(
        choices=(
            [0,"免費電影"],
            [1,"黃金VIP專享"],
            [2,"鑽石VIP專享"]
        )
    )

　　用戶表數據如下：

　　電影表數據如下：

序列類

　　採用模型類序列器，並且只對電影做序列化：

from rest_framework import serializers
from app01 import models

class FilmModelSerializers(serializers.ModelSerializer):
    class Meta:
        model = models.Film
        fields = "__all__"

認證校驗

　　下面是認證許可權，只有登錄後的用戶才可以看到電影資訊。如果沒有登錄將不允許查看所有電影的頁面，或者你也可以不設置認證校驗，但是在許可權設置中可以設置匿名用戶直接返回一個False也行。

from rest_framework.authentication import BaseAuthentication
from rest_framework.exceptions import APIException
from app01 import models

class LoginAuth(BaseAuthentication):
    def authenticate(self,request):
        token = request.META.get("HTTP_TOKEN")
        if not token:
            # 未登錄
            raise APIException("未登錄，無法查看本電影網站，請先登錄")
        user_obj = models.User.objects.filter(user_token=token).first()
        if not user_obj:
            raise APIException("token無效，登錄失敗")
        else:
            return user_obj,user_obj.user_type  # 將用戶對象本身以及用戶的類型存儲到request.user以及request.auth中

視圖

　　下面是視圖的程式碼：

from uuid import uuid4

from rest_framework.generics import ListAPIView
from rest_framework.generics import GenericAPIView
from rest_framework.views import APIView
from rest_framework.views import Response

from app01 import models
from app01 import serializationClass
from app01 import app01_auth


class FilmAPI(ListAPIView,GenericAPIView):
    authentication_classes = [app01_auth.LoginAuth]  # 必須登錄
    queryset = models.Film.objects.all()  # 默認查看所有，任何用戶都是
    serializer_class = serializationClass.FilmModelSerializers
    
    def get(self,request):
        return self.list(request)


class Login(APIView):
    def post(self,request):
        user_dict = {
            "user_name":request.data.get("user_name"),
            "user_password":request.data.get("user_password"),
        }
        user_obj = models.User.objects.filter(**user_dict).first()
        if not user_obj:
            return Response(data="用戶名或密碼錯誤")
        else:
            token = uuid4()  # 創建token
            user_obj.user_token = token
            user_obj.save()
            return Response(data="登錄成功",headers={"token":token})  # 返回token到請求頭中

url

　　下面是路由。

from django.contrib import admin
from django.urls import path

from app01 import views


urlpatterns = [
    path('admin/', admin.site.urls),
    path('login/',views.Login.as_view()),
    path('api/film/',views.FilmAPI.as_view()),
]

簡單嘗試

　　現在我們啟動django項目試試。可以發現，當我們在請求頭中設置好token並朝api發送GET請求時，它會返回所有的數據。

　　我們登錄的是jack這個用戶，他應該只能看到免費電影，而類似泰坦尼克號這種電影是不應該讓他看見的。

自訂製許可權

　　寫一個類，繼承BasePermission，重寫has_permission()方法，如果許可權通過，就返回True，不通過就返回False。