Django - 用户对某些视图的权限？

Question

从管理员那里我看到您可以向用户或用户组分配权限：允许从模型中添加、更改或删除数据。

这很好，但我还需要允许用户或用户组访问或不允许访问一组视图。我的网站上有某些类型的服务，因此我希望允许某些用户访问某些服务（页面/视图），但不允许其他用户访问。

那么如何允许某些用户/用户组访问某些视图呢？谢谢你！

Answer 1

无法添加或更改等特定模型的用户将无法在管理中看到它。

如果我们谈论的是您自定义创建的视图，那么您可以创建一些东西来检查用户的权限，如果他们没有该权限，则返回 404。权限与模型相关联，可以为组分配各种权限。

您可以向模型添加权限，如下所示：

# myproject/myapp/models.py

class MyModel(models.Model):
    class Meta:
        permissions = (
            ('permission_code', 'Friendly permission description'),
        )

然后您可以检查用户是否具有如下权限：

@user_passes_test(lambda u: u.has_perm('myapp.permission_code'))
def some_view(request):
    # ...

使用权限，您只需使用管理界面即可轻松地从用户和组中添加或删除它们。

Answer 2

您需要手动管理，但这非常简单。大概有一个属性决定一个组是否有权查看某个视图：如果这是一个简单的问题，即用户是否具有特定的权限，那么您只需使用 permission_required 装饰器来装饰该视图，或者 user_passes_test （如果稍微复杂一点）：

@user_passes_test(lambda u: u.is_allowed_to_see_view_myview())
def myview(request):
    ...etc...

假设 is_allowed_to_see_view_myview 是 User 对象上的某种方法。

身份验证文档非常全面。

Answer 3

对于基于类的视图，您可以将 UserPassesTestMixin 类继承到视图中并定义 test_func

from django.contrib.auth.mixins import UserPassesTestMixin

class MainView(UserPassesTestMixin, View):

    def test_func(self):
        return self.request.user.has_perm('app.get_main_view')

看看 此文档有关如何使用它的更多详细信息：

Answer 4

如果您使用的是 Django 1.9+，您应该能够使用 PermissionRequiredMixin：

例如：

from django.contrib.auth.mixins import PermissionRequiredMixin

class MainView(PermissionRequiredMixin, View):
    permission_required = 'my_services.foo_bar'
    ...

这基本上是 UserPassesTestMixin 的一个特例，专门用于测试用户是否具有指定的权限。

Answer 5

权限系统以模型为中心，并假设权限与模型相关联。我认为以下 2 个替代方案是最佳选择：

A. 如果您的视图与某些特定模型相关，请按照 Marcus Whybrow 的建议对该模型使用自定义权限。

B. [未经测试，可能不起作用] 子类 User 并在那里定义您自己的权限。您不需要实际的模型，它只是应用程序自定义权限的包装器：

from django.contrib.auth.models import User
class MyUser(User):
    class Meta:
        permissions = (('can_visit_$viewset1', 'Can visit $view_set_1'))

不要忘记运行 syncdb 向数据库添加自定义权限。