向 django admin 添加每个对象的权限

Question

背景

我正在为度假租赁网站开发 django 应用程序。它将有两种类型的用户：租户和物业经理。

我希望物业经理能够在 django admin 中管理他们的租赁物业。然而，他们应该只能管理自己的财产。

我意识到默认的 django admin 不支持这个。我想知道添加此功能会带来多少麻烦，如果可行的话，处理它的最佳方法是什么。

---

目标

理想情况下，我想象它的工作方式如下：

auth已经允许这样的权限：

vacation | rental | Can add rental
vacation | rental | Can change rental
vacation | rental | Can delete rental

我想将其更改为：

vacation | rental | Can add any rental
vacation | rental | Can change any rental
vacation | rental | Can delete any rental
vacation | rental | Can add own rental
vacation | rental | Can change own rental
vacation | rental | Can delete own rental

---

可能的解决方案 strong>

框架如何决定租赁（或其他）是否属于用户？我认为它会检查 vacation.Rental 类，看看它是否有 ForeignKey 到 auth.User （可能有一些特定的名称，如“所有者”）。

• 创建新的 vacation.Rental 时，ForeignKey 字段的值将强制为当前用户的 ID。 ForeignKey 字段不会显示在表单上。

• 在列出租赁时，仅显示 ForeignKey 与当前用户匹配的租赁。

• 更改租赁时，仅显示 ForeignKey 与当前用户匹配的租赁。 ForeignKey 字段不会显示在表单上。

当然，这应该能够适用于任何具有适当 ForeignKey 字段的模型，而不仅仅是我们的 vacation.Rental 模型。

到目前为止这听起来可行吗，还是我应该朝不同的方向前进？

---

并发症

现在，这是棘手的部分；我不知道如何处理这个问题。假设Rental 可以有许多“RentalPhotos”。 RentalPhoto 有一个 ForeignKey 到 Rental。用户应该能够将照片添加到自己的租赁中。但是，这些照片没有用户 ForeignKey，因此无法直接找出谁拥有该照片。

可以通过框架中的一些技巧来解决这个问题吗？跟踪 ForeignKey 直到找到带有 ForeignKey 的对象给用户？或者我应该采取简单的方法，将 RentalPhoto （以及“属于”Rental 的其他所有内容）提供给相应的ForeignKey >auth.User？第二种方法会带来不必要的冗余，第一种方法可能会需要不必要的处理开销......

如果我完全误入歧途，请毫不犹豫地为我指出正确的方向。预先感谢您的任何帮助。

Answer 1

我只需向每个模型添加一个方法 is_owned_by(user)，并由模型决定它是否由该用户拥有。在大多数情况下，is_owned_by 可以是基本模型类中的通用函数，您可以在特殊情况下对其进行调整。例如，

class RentalPhoto(BaseModel):
    def is_owned_by(self, user):
        return self.rental.is_owned_by(user)

这足够通用并且明确，您将完全控制事物的行为方式。

要添加新权限，您可以将其添加到您的模型中，例如

class Rental(models.Model):
    # ...
    class Meta:
        permissions = (
            ("can_edit_any", "Can edit any rentals"),
        )

我认为您不应添加 any 和 own 两个权限，而应该仅添加 own权限，因此每个对象都已经拥有 can_edit ，您可以将其视为用户只能编辑他的对象，并且如果用户具有 can_edit_any 权限，则只允许他编辑所有对象

使用此功能，我们可以通过添加自定义后端，例如，

class PerObjectBackend(ModelBackend):

    def has_perm(self, user_obj, perm, obj=None):
        allowed = ModelBackend.has_perm(self, user_obj, perm)
        if perm.find('any') >=0 :
            return allowed

        if perm.find('edit') >=0 or perm.find('delete') >=0:
            if obj is None:
                raise Exception("Perm '%s' needs an object"%perm)
            if not obj.is_owned_by(user_obj):
                return False

        return allowed

这是一个非常快速的实现，实际上，您可以扩展权限对象来检查是否需要和对象，例如 permission.is_per_object 而不是进行粗略的字符串搜索，但这也应该可以工作，如果您有标准名称

Answer 2

如果您不想实现自己的权限后端，我建议您使用 https://github.com /chrisglass/django-rulez 你会以更简单的方式做你想做的事。

Answer 3

它位于 Django 文档。

基本上，您为模型创建自定义管理类，并定义方法 get_queryset。在你的情况下，它可能类似于下面的内容。超级用户将看到所有出租，而所有者只能看到他的。

class RentalAdmin(admin.ModelAdmin):
    def get_queryset(self, request):
        qs = super(RentalAdmin, self).get_queryset(request)
        if request.user.is_superuser:
            return qs
        return qs.filter(owner=request.user)

这是另一个可能的线索： https://code.djangoproject.com/wiki/RowLevelPermissions

Answer 4

这个问题可以通过一些技巧来解决吗
框架，遵循外键
直到找到一个对象
用户的外键？

我看不出哪里有必要耍花招：
出租照片 ->出租->用户
因此，要获取特定 RentalPhoto 的用户，您可以在实例中调用类似以下内容：

photo.rental.user

一步中遵循多个关系可以被视为非欺骗。

Answer 5

class Rental(models.Model):
    owner: User = models.ForeignKey(
        User, verbose_name='owner', related_name='rentals',
        on_delete=models.CASCADE, blank=True, null=False
    )
    # owner_id automatically gets created by Django. Optionally annotate to help your IDE
    owner_id: int

    def is_owned_by(self, user: User):
        # You can use self.owner == user, or self.owner.id == user.id. 
        # But this way owner data won't be fetched from the database
        if self.owner_id == user.id:
            return True
        return False


class RentalPhoto(models.Model):

    rental: Rental = models.ForeignKey(
        Rental, on_delete=models.CASCADE, related_name='rental_photos',
        blank=False, null=False,
    )

    def is_owned_by(self, user: User):
        return self.rental.is_owned_by(user)


class RentalPhotoAdminInline(admin.StackedInline):
    model = RentalPhoto
    extra = 1


@admin.register(Rental)
class RentalAdmin(admin.ModelAdmin):

    inlines = (RentalPhotoAdminInline,)

    # staff members can only view/operate their rentals
    def get_queryset(self, request):
        queryset = super().get_queryset(request)
        if not request.user.is_superuser:
            queryset = queryset.filter(owner_id=request.user.id)

        return queryset

    def save_model(self, request, obj: Rental, form, change):
        # set rental owner on admin save
        if obj.owner_id is None:
            obj.owner = request.user
        obj.save()

    def has_view_or_change_permission(self, request, obj=None):
        allowed = super().has_view_or_change_permission(request, obj)
        if obj is None:
            return allowed
        return request.user.is_superuser or obj.is_owned_by(request.user)

    def has_view_permission(self, request, obj=None):
        allowed = super().has_view_permission(request, obj)
        if obj is None:
            return allowed
        return request.user.is_superuser or obj.is_owned_by(request.user)

    def has_change_permission(self, request, obj=None):
        allowed = super().has_change_permission(request, obj)
        if obj is None:
            return allowed
        return request.user.is_superuser or obj.is_owned_by(request.user)

    def has_delete_permission(self, request, obj=None):
        allowed = super().has_delete_permission(request, obj)
        if obj is None:
            return allowed
        return request.user.is_superuser or obj.is_owned_by(request.user)