Django的Permission细节

Django 的权限系统是一套灵活且强大的机制，用于控制用户对资源的访问。它包括用户、组、权限模型的交互，并支持内置和自定义权限。以下是 Django 权限系统的实现细节：

1. 权限模型 (Permission)

Permission 是 Django 内置的模型，存储权限相关的信息。权限与模型（表）相关联，通常以 app_label.模型名称_操作 的形式表示，例如：

• auth.user_add（允许添加用户）
• auth.user_change（允许修改用户）

权限字段

• name: 权限的描述（人类可读）。
• codename: 权限的代码标识，例如 add_user。
• content_type: 关联的模型，用于区分不同模型的权限。

Django 的 Permission 模型位于 django.contrib.auth.models 模块中。

2. 用户模型 (User) 和组模型 (Group)

用户模型

• 权限字段：
  
• 方法：
  

组模型

• 字段：
  
• 用户可以属于一个或多个组，从组中继承权限。

权限检查时，Django 会同时检查用户直接拥有的权限和通过组继承的权限。

3. 权限分配和检查

分配权限

• 直接分配给用户：

from django.contrib.auth.models import User, Permission 
from django.contrib.contenttypes.models import ContentType 

user = User.objects.get(username="example") 
content_type = ContentType.objects.get_for_model(MyModel) 
permission = Permission.objects.get(codename="add_mymodel", content_type=content_type) 
user.user_permissions.add(permission)

• 分配给组：

from django.contrib.auth.models import Group 

group = Group.objects.create(name="Editors") 
group.permissions.add(permission) 
user.groups.add(group)

检查权限

• 用户是否具有某权限：

 if user.has_perm('app_label.permission_codename'): 
     print("User has permission")

• 检查组权限：通过用户 has_perm 方法间接完成。

4. 内置权限

Django 为每个模型默认生成三个权限：

• add_<modelname>: 添加模型实例的权限。
• change_<modelname>: 修改模型实例的权限。
• delete_<modelname>: 删除模型实例的权限。

这些权限由 django.contrib.auth 在 migrate 时自动创建。

5. 自定义权限

如果需要自定义权限，可以在模型的 Meta 类中定义：

class MyModel(models.Model):
    name = models.CharField(max_length=100)

    class Meta:
        permissions = [
            ("special_permission", "Can perform special action"),
        ]

迁移后，将生成自定义权限。

6. 中间件与装饰器

权限中间件

Django 的权限系统通过认证中间件实现，默认启用的中间件是：

• django.contrib.auth.middleware.AuthenticationMiddleware

装饰器

• @permission_required: 检查视图的访问权限。

from django.contrib.auth.decorators import permission_required 

@permission_required('app_label.permission_codename', raise_exception=True) 
def my_view(request): ...

• @login_required: 确保用户已登录。

from django.contrib.auth.decorators import login_required 

@login_required 
def my_view(request): ...

7. 权限在模板中的使用

Django 模板中可以使用 user.has_perm 检查权限：

{% if user.has_perm('app_label.permission_codename') %}
    <p>User has permission.</p>
{% endif %}

8. 扩展与自定义

• 自定义用户模型：通过继承 AbstractUser 或 AbstractBaseUser 实现。
• 自定义权限管理器：可以扩展 Permission 模型或自定义 has_perm 方法以适应特殊需求。

9. 权限的应用场景

• 控制页面访问：限制未授权用户访问特定视图。
• 控制数据操作：基于权限动态控制用户对模型的操作。
• 多层次权限：通过组和直接权限组合实现复杂的权限策略。

如果需要针对某些具体场景（如基于字段或实例的权限检查），也可以实现自定义逻辑。Django 提供了一个灵活的基础，可以根据项目需求扩展和优化权限系统。