Django Django rest permissions允许同时使用IsAdmin和自定义权限

在本文中，我们将介绍Django和Django Rest Framework中的权限系统以及如何同时使用IsAdmin和自定义权限。

阅读更多：Django 教程

权限系统介绍

Django是一个功能强大的Python Web框架，提供了丰富的工具和功能来帮助开发人员快速构建稳定和安全的Web应用程序。其中一个重要的组件是权限系统，它用于限制用户对资源的访问和操作。

Django Rest Framework (DRF)是构建RESTful API的优秀工具。它扩展了Django的功能，提供了简单且灵活的方式来开发和维护Web API。DRF还提供了一套默认的权限类来管理API的访问控制。

默认权限类

DRF默认提供了一套常用的权限类，可以通过在视图类的permission_classes属性中设置来应用。

IsAuthenticated

该权限类要求用户必须经过身份验证才能访问资源。如果用户未经身份验证尝试访问受保护的资源，将会收到一个401 Unauthorized的响应。

from rest_framework.permissions import IsAuthenticated

class ExampleView(APIView):
    permission_classes = [IsAuthenticated]

    def get(self, request, format=None):
        ...

IsAdminUser

该权限类要求用户必须是管理员才能访问资源。如果用户不是管理员，将会收到一个403 Forbidden的响应。

from rest_framework.permissions import IsAdminUser

class ExampleView(APIView):
    permission_classes = [IsAdminUser]

    def get(self, request, format=None):
        ...

AllowAny

该权限类允许任何用户访问资源，即使用户未经身份验证。这是最宽松的权限设置，一般用于公开可访问的资源。

from rest_framework.permissions import AllowAny

class ExampleView(APIView):
    permission_classes = [AllowAny]

    def get(self, request, format=None):
        ...

自定义权限类

除了默认的权限类外，Django和DRF还允许开发人员创建自定义权限类，以满足特定的业务需求。

示例 – 自定义权限类

假设我们的应用程序中有一个Post模型，只有管理员和帖子的创建者才能编辑或删除帖子。我们可以创建一个名为IsAdminOrOwner的自定义权限类来实现这个功能。

from rest_framework.permissions import BasePermission

class IsAdminOrOwner(BasePermission):
    def has_object_permission(self, request, view, obj):
        if request.user.is_staff or obj.owner == request.user:
            return True
        return False

在上面的代码中，我们继承了DRF的BasePermission类，并重写了has_object_permission方法。该方法接收三个参数：request，view，obj。我们可以使用这些参数来判断用户是否具有权限。

然后，我们可以在视图类的permission_classes属性中使用IsAdminOrOwner权限类。

class PostDetail(APIView):
    permission_classes = [IsAdminOrOwner]

    def get_object(self, pk):
        ...

这样，只有管理员和帖子的创建者才能访问和操作该视图。

同时使用IsAdmin和自定义权限

要同时使用IsAdmin和自定义权限类，我们可以将它们定义为一个列表，并将其分配给视图类的permission_classes属性。

from rest_framework.permissions import IsAdminUser

class ExampleView(APIView):
    permission_classes = [IsAdminUser, IsAdminOrOwner]

    def get(self, request, format=None):
        ...

在上述示例中，只有管理员和帖子的创建者才能访问和操作该视图。