Django - 对象级权限和基于类的通用视图

Question

这是模型：

class Car(models.Model):
    user = models.ForeignKey(User, related_name='cars')
    name = models.CharField(max_length=64)

Url 模式是这样的：

url(r'^car/(?P<pk>\d+)/$', login_required(CarDetails.as_view()), name='car_details)

和视图：

class CarDetail(DetailView):
    context_object_name = 'car'
    template_name = 'my_app/car_details.html'
    model = models.Car

    def get_object(self, *args, **kwargs):
        car = super(CarDetail, self).get_object(*args, **kwargs)
        if car.user != self.request.user:
            raise PermissionDenied()
        else:
            return car

这工作正常，但在每个类中我都必须重写 get_object 以防止用户弄乱其他人的对象。这包括对我拥有的每个模型进行编辑和删除，这严重违反了 DRY 原则。

有更好的方法吗？也许类似于 login_required 装饰器？

Answer 1

定义基类（或混合）并使用继承怎么样？

class CurUserOnlyDetailView(DetailView):
    def get_object(self, *args, **kwargs):
        obj = super(CurUserOnlyDetailView, self).get_object(*args, **kwargs)
        if obj.user != self.request.user:
            raise PermissionDenied()
        else:
            return obj

class CarDetail(CurUserOnlyDetailView):
    context_object_name = 'car'
    template_name = 'my_app/car_details.html'
    model = models.Car

# another view, no DRY violation
class BikeDetail(CurUserOnlyDetailView):
    context_object_name = 'bike'
    template_name = 'my_app/bike_details.html'
    model = models.Bike

Answer 2

正如 DrTyrsa 在他的答案中提出的那样，解决方案或多或少很简单，只有一点点不同。我创建了继承 object 的基类 CurUserOnly，而不是 DetailView （我想将此类与 DeleteView 一起使用，并且UpdateView 也是如此），现在 CarDetail 继承 CurUserOnly 和 DetailView，CarDelete 继承CurUserOnly 和 DeleteView 等等...

有趣的是，我之前尝试过这个，但是没有成功，因为我忘记了 python 的 MRO 和 DetailView 是继承列表中的第一个，而 CurUserOnly 应该是！

最后，这是 CurUserOnly 类：

class CurUserOnly(object):
    def get_object(self, *args, **kwargs):
        obj = super(CurUserOnly, self).get_object(*args, **kwargs)
        user_attribute = getattr(self, 'user_attribute', 'user')
        user = obj
        for part in user_attribute.split('.'):
            user = getattr(user, part, None)
        if user != self.request.user:
            raise PermissionDenied()
        else:
            return obj

如果我有一个与用户没有直接联系的模型，我需要做的就是添加 user_attribute 字段。例如，如果我有模型 Tyre ，其中带有 Car 的外键，则其删除视图将如下所示：

class TyreDelete(CurUserOnly, DeleteView):
    model = models.Tyre
    user_attribute = 'car.user'

---

_{此答案作为 编辑问题Django - 对象级 premission 和基于类的通用视图 OP del-boy 根据 CC BY-SA 3.0。}