Django權限系統auth

主要内容
說明
一、User
- 1、認證使用者
- 2、登入
- 3、登出
- 4、隻允許登入的使用者通路
二、Group
- 1、add
- 2、del
三、Permission
- 1.檢查使用者權限
- 2.管理使用者權限
- 3.自定義權限

主要内容

本教程主要講解是的User、Group、Permission三個子產品及它們之間的關系。

Django權限系統auth(詳解)主要内容說明一、User二、Group三、Permission

說明

auth子產品是Django提供的标準權限管理系統,可以提供使用者身份認證, 使用者組和權限管理。
auth可以和admin子產品配合使用，快速建立網站的管理系統。
在INSTALLED_APPS中添加’django.contrib.auth’使用該APP, auth子產品預設啟用。
Django用user, group和permission完成了權限機制，這個權限機制是将屬于model的某個permission賦予user或group，可以了解為全局的權限。
結合Django自帶權限機制和object permission，部落格系統中作者的權限控制迎刃而解：系統全局上不允許作者編輯文章，而對于屬于作者的具體文章，賦予編輯權限即可。Django其實包含了object permission的架構，但沒有具體實作，object permission的實作需要借助第三方app django-guardian，我們在開發中用調用django guradian封裝好的方法即可。

一、User

User是auth子產品中維護使用者資訊的關系模式(繼承了models.Model), 資料庫中該表被命名為auth_user.

User表的SQL描述:

CREATE TABLE "auth_user" (
    "id" integer NOT NULL PRIMARY KEY AUTOINCREMENT, 
    "password" varchar(128) NOT NULL, "last_login" datetime NULL, 
    "is_superuser" bool NOT NULL, 
    "first_name" varchar(30) NOT NULL, 
    "last_name" varchar(30) NOT NULL,
    "email" varchar(254) NOT NULL, 
    "is_staff" bool NOT NULL, 
    "is_active" bool NOT NULL,
    "date_joined" datetime NOT NULL,
    "username" varchar(30) NOT NULL UNIQUE
)

auth子產品提供了很多API管理使用者資訊, 在必要的時候我們可以導入User表進行操作, 比如其它表需要與User建立關聯時。

from django.contrib.auth.models import User
#建立使用者
user = User.objects.create_user(username, email, password)
#建立user對象
user.save()
需要調用save()方法新使用者才會寫入資料庫

注：auth子產品不存儲使用者密碼明文而是存儲一個Hash值, 比如疊代使用Md5算法。

1、認證使用者

#先導入函數
from django.contrib.auth import authenticate
#使用關鍵字參數傳遞賬戶和憑據:
user = authenticate(username=username, password=password)
#認證使用者的密碼是否有效, 若有效則傳回代表該使用者的user對象, 若無效則傳回None.
#該方法不檢查is_active标志位.
#修改密碼
#修改密碼是User的執行個體方法, 該方法不驗證使用者身份:
user.set_password(new_password)
#通常該方法需要和authenticate配合使用:
user = auth.authenticate(username=username, password=old_password)
if user is not None:
    user.set_password(new_password)
    user.save()

2、登入

#首先import:
from django.contrib.auth import login
#login向session中添加SESSION_KEY, 便于對使用者進行跟蹤:'login(request, user)'
l#ogin不進行認證,也不檢查is_active标志位, 一般和authenticate配合使用:
user = authenticate(username=username, password=password)
if user is not None:
    if user.is_active:
        login(request, user)
#在auth/__init__.py中可以看到login的源代碼.

3、登出

#logout會移除request中的user資訊, 并重新整理session:
from django.contrib.auth import logout
def logout_view(request):
    logout(request)

4、隻允許登入的使用者通路

#@login_required修飾器修飾的view函數會先通過session key檢查是否登入, 已登入使用者可以正常的執行操作, 未登入使用者将被重定向到login_url指定的位置.
#若未指定login_url參數, 則重定向到settings.LOGIN_URL
from django.contrib.auth.decorators import login_required

@login_required(login_url='/accounts/login/')
def my_view(request):
    ...

二、Group

django.contrib.auth.models.Group定義了使用者組的模型，每個使用者組擁有id和name兩個字段，該模型在資料庫被映射為auth_group資料表。

User對象中有一個名為groups的多對多字段，多對多關系由auth_user_groups資料表維護。Group對象可以通過user_set反向查詢使用者組中的使用者。

我們可以通過建立删除Group對象來添加或删除使用者組。

1、add

from django.contrib.auth.models import Group
group = Group.objects.create(name=group_name)
group.save()

2、del

group.delete()

注：

我們可以通過标準的多對多字段操作管理使用者與使用者組的關系:

使用者加入使用者組user.groups.add(group對象)或group.user_set.add(user對象)
使用者退出使用者組user.groups.remove(group)或group.user_set.remove(user)
使用者退出所有使用者組user.groups.clear()
使用者組中所有使用者退出組group.user_set.clear()

三、Permission

Django的auth系統提供了模型級的權限控制，即可以檢查使用者是否對某個資料表擁有增(add), 改(change), 删(delete)權限。

auth系統無法提供對象級的權限控制，即檢查使用者是否對資料表中某條記錄擁有增改删的權限。如果需要對象級權限控制可以使用django-guardian.

假設在部落格系統中有一張article資料表管理博文， auth可以檢查某個使用者是否擁有對所有博文的管理權限，但無法檢查使用者對某一篇博文是否擁有管理權限。

1.檢查使用者權限

user.has_perm方法用于檢查使用者是否擁有操作某個模型的權限:

user.has_perm(‘blog.add_article’)

user.has_perm(‘blog.change_article’)

user.has_perm(‘blog.delete_article’)

上述語句檢查使用者是否擁有blog這個app中article模型的添權重限，若擁有權限則傳回True。

has_perm僅是進行權限檢查, 即是使用者沒有權限它也不會阻止程式員執行相關操作。

permission_required修飾器可以代替has_perm并在使用者沒有相應權限時重定向到登入頁或者抛出異常。

permission_required(perm[, login_url=None, raise_exception=False])

@permission_required('blog.add_article')
def post_article(request):
    pass

每個模型預設擁有增(add), 改(change), 删(delete)權限。在django.contrib.auth.models.Permission模型中儲存了項目中所有權限。

該模型在資料庫中被儲存為auth_permission資料表。每條權限擁有id ,name , content_type_id, codename四個字段。

2.管理使用者權限

User和Permission通過多對多字段user.user_permissions關聯，在資料庫中由auth_user_user_permissions資料表維護。

添權重限: user.user_permissions.add(permission)
删除權限: user.user_permissions.delete(permission)
清空權限: user.user_permissions.clear()

使用者擁有他所在使用者組的權限，使用使用者組管理權限是一個更友善的方法。Group中包含多對多字段permissions，在資料庫中由auth_group_permissions資料表維護。
添權重限: group.permissions.add(permission)
删除權限: group.permissions.delete(permission)
清空權限: group.permissions.clear()

3.自定義權限

在定義Model時可以使用Meta自定義權限:

class Discussion(models.Model):
  ...
  class Meta:
      permissions = (
          ("create_discussion", "Can create a discussion"),
          ("reply_discussion", "Can reply discussion"),
      )

判斷使用者是否擁有自定義權限:

user.has_perm('blog.create_discussion')

本文主要參考Django權限系統auth和Django權限機制實作代碼詳解