Django Rbac 权限设计

django的默认权限

Django 带有一个简单的权限系统。它提供了为指定的用户和用户组分配权限的方法。

这里的group和角色实际上为一个概念

User 对象有两个多对多字段:groups 和 user_permissions。 User 对象能够像访问其余 Django model: 同样访问他们的相关对象。

myuser.groups.set([group_list])
myuser.groups.add(group, group, ...)
myuser.groups.remove(group, group, ...)
myuser.groups.clear()
myuser.user_permissions.set([permission_list])
myuser.user_permissions.add(permission, permission, ...)
myuser.user_permissions.remove(permission, permission, ...)
myuser.user_permissions.clear()
复制代码

注意这里:能够直接对用户进行受权。

假设你有一个名为 foo 应用程序和一个名为 Bar 的模型，要测试基础权限，你应该使用：

添加：user.has_perm('foo.add_bar')
修改：user.has_perm('foo.change_bar')
删除：user.has_perm('foo.delete_bar')
查看：user.has_perm('foo.view_bar')
复制代码

能够扩展/屏蔽默认的权限：

class Person(models.Model):
    class Meta:
        default_permissions = ()
        permissions = [('can_eat_pizzas', 'Can eat pizzas')]
复制代码

default_permissions = ()屏蔽了Person默认的add_person、 change_person、 delete_person和 view_person。而permissions = [('can_eat_pizzas', 'Can eat pizzas')]为Person增长了can_eat_pizzas权限。

系统需求分析

角色有编码，能够便捷的在编程过程当中使用, 好比:

if user.role.has("manager") :
    dosomething()
复制代码

* 权限管理
    - 用户管理
        * 增长
        * 编辑
        * 删除
        * 搜索
    - 角色管理
    - 权限管理
* 论坛管理
    - 版面管理
        * 新增版面
        * 修改版面
        * 查看版面
        * 关闭
    - 文章管理
        * ...
复制代码

权限能够配合RESTFul规范进行远程拦截(没有model状况下)

GET /articles/
DELETE /articles/1/
复制代码

模型实现

操做权限部分

model部分以下:

class Permission(models.Model):
    """约定一级表明目录，二级表明页面，三级表明按钮"""
    name = models.CharField(verbose_name='名称', max_length=32, blank=True, null=True)
    code = models.CharField(verbose_name='编码', max_length=32, blank=True, null=True)
    higher = models.ForeignKey('self', verbose_name='上级', on_delete=models.CASCADE)
    url = models.CharField(verbose_name='路径', max_length=32, blank=True, null=True)
    action = models.CharField(verbose_name='方法', max_length=32, blank=True, null=True)
    ...


class Role(models.Model):
    name = models.CharField(verbose_name='名称', max_length=32, blank=True, null=True)
    code = models.CharField(verbose_name='编码', max_length=32, blank=True, null=True)
    permissions = models.ManyToManyField(
        Permission,
        verbose_name='permissions',
        blank=True,
    )
    ...


class User(AbstractUser):
    roles = models.ManyToManyField(
        Role,
        verbose_name='roles',
        blank=True,
    )
    ...
复制代码

操做权限拦截以下:

class RBACMiddleware:

    def __call__(self, request):
        request_url = request.path_info
        request_user = request.user
        for url in settings.SAFE_URL:
            if re.match(url, request_url):
                pass
        # 读取数据库/缓存
        if has_permission_url(request_user, request_url):
            pass
        else:
            return render(request, 'page403.html')
复制代码

数据权限部分

数据权限和业务结合紧密，通常不须要作统一的数据权限拦截，各个业务自由使用。不过能够将数据权限抽象成下面几种类型，规范使用，实现可配置化。

* 行限制（根据某列的条件控制可影响的行数）
    - 全部者 is_owner_required 只可以删除本身的数据行
    - 协做者 is_teamworker_required 能够编辑team(部门)所属的数据行
    - 受限者 is_manager_required 能够批准3天内请假
* 列限制 (控制可影响的列)
    - 电话号码保密 filter_phone
    - 薪资保密 filter_salary
复制代码

model 部分

class Checker(models.Model):
    CHECKER_CLAZZ = (
        (1, 函数),
        (2, 表达式),
    )

    clazz = models.CharField(verbose_name='类别', choices=CHECKER_TYPE, max_length=15, blank=True, null=True)
    name = models.CharField(verbose_name='名称', max_length=32, blank=True, null=True)
    code = models.CharField(verbose_name='编码', max_length=32, blank=True, null=True)
    value = models.CharField(verbose_name='数值', max_length=32, blank=True, null=True)
    ...
复制代码

实现部分

简单的拦截:

def is_owner_required(model, pk_name='pk'):
    def decorator(view_func):
        def wrap(request, *args, **kwargs):
            pk = kwargs.get(pk_name, None)
            o=model.objects.get(pk=pk) #raises ObjectDoesNotExist
            if o.is_owner(request.user):
                return view_func(request, *args, **kwargs)
            else:
                raise PermissionDenied
        return wraps(view_func)(wrap)
    return decorator

def is_teamworker_required(model, pk_name='pk'):
    def decorator(view_func):
        def wrap(request, *args, **kwargs):
            pk = kwargs.get(pk_name, None)
            o=model.objects.get(pk=pk) #raises ObjectDoesNotExist
            if o.is_teamworker(request.user):
                return view_func(request, *args, **kwargs)
            else:
                raise PermissionDenied
        return wraps(view_func)(wrap)
    return decorator

@is_owner_required(Comment)
def delete_comment(request, pk):
    pass
    
@is_teamworker_required(Comment)
def edit_comment(request, pk):
    pass
复制代码

复杂点的拦截:

def is_manager_required(code, pk_name='pk'):
    def decorator(view_func):
        def wrap(request, *args, **kwargs):
            pk = kwargs.get(pk_name, None)
            o=model.objects.get(pk=pk) #raises ObjectDoesNotExist
            c=checkModel.objects.get(code=code)
            # check request user role limit value
            if c.check(request.user):
                return view_func(request, *args, **kwargs)
            else:
                raise PermissionDenied
        return wraps(view_func)(wrap)
    return decorator
    
@is_manager_required(code="manager_limit_3")
def audit_holiday(request, pk):
    pass
复制代码

彻底动态的拦截: