Django 自定义权限管理系统详解(通过中间件认证)

下面我将详细讲解“Django 自定义权限管理系统详解(通过中间件认证)”的完整攻略，并且包含两条示例说明。

1. 安装 Django 和创建项目

首先，我们需要安装 Django，并创建一个新项目：

pip install django
django-admin startproject mysite

2. 创建应用并添加模型

接着，创建一个新的应用，并在其中创建一个模型来表示用户权限：

python manage.py startapp myapp

# myapp/models.py

from django.db import models

class Permission(models.Model):
    name = models.CharField(max_length=100)
    description = models.TextField()

3. 自定义认证中间件

接下来，我们需要创建一个自定义的认证中间件来处理用户权限。首先，我们需要设置一个默认的权限列表，以及检查用户是否具有权限的函数：

# myapp/middleware.py

from django.urls import resolve
from django.http import HttpResponseForbidden
from myapp.models import Permission

DEFAULT_PERMISSIONS = {
    'admin': [
        'add_permission',
        'change_permission',
        'delete_permission',
    ],
    'user': [
        'view_permission',
    ]
}

def check_permissions(user, permission_name):
    if user.is_superuser:
        return True
    try:
        permission = Permission.objects.get(name=permission_name)
    except Permission.DoesNotExist:
        return False
    if user.groups.filter(permissions=permission).exists():
        return True
    return False

然后，我们需要创建一个中间件类，在其中实现权限检查的逻辑：

# myapp/middleware.py

class PermissionMiddleware:
    def __init__(self, get_response):
        self.get_response = get_response

    def __call__(self, request):
        view_func = resolve(request.path_info).func
        permissions = getattr(view_func, 'permissions_required', None)
        if permissions is not None:
            user = request.user
            if not user.is_authenticated:
                return HttpResponseForbidden()
            for permission_name in permissions:
                if not check_permissions(user, permission_name):
                    return HttpResponseForbidden()
        response = self.get_response(request)
        return response

4. 定义视图函数和 URL 配置

接下来，我们需要定义一个视图函数，并添加 permissions_required 装饰器来指定需要的权限：

# myapp/views.py

from django.contrib.auth.decorators import login_required
from django.shortcuts import render
from myapp.models import Permission

@login_required
def index(request):
    permissions = Permission.objects.filter(name__startswith='view_')
    return render(request, 'index.html', {'permissions': permissions})

@login_required
@permissions_required(['add_permission', 'change_permission'])
def add_permission(request):
    if request.method == 'POST':
        # 处理 POST 请求
    else:
        # 处理 GET 请求

然后，我们需要在 urls.py 中配置对应的 URL 映射：

# mysite/urls.py

from django.urls import path, include
from myapp import views

urlpatterns = [
    path('', views.index),
    path('add_permission/', views.add_permission),
]

示例 1：动态指定视图函数的权限要求

有时候，我们需要动态指定视图函数的权限要求。例如，我们可能需要根据不同的用户角色来限制其访问某些页面的权限。在这种情况下，我们可以使用上面定义的 permissions_required 装饰器，来动态指定权限要求。

例如：

# myapp/views.py

@login_required
def index(request):
    if request.user.is_superuser:
        permissions = Permission.objects.all()
    else:
        permissions = Permission.objects.filter(name__startswith='view_')
    return render(request, 'index.html', {'permissions': permissions})

@login_required
@permissions_required(['add_permission', 'change_permission'])
def add_permission(request):
    if request.method == 'POST':
        # 处理 POST 请求
    else:
        # 处理 GET 请求

上面的示例中，如果当前用户是超级用户，则可以访问所有的权限页面。否则，只能访问以 view_ 开头的权限页面。

示例 2：授权组的使用

Django 还提供了授权组的功能，让我们可以更加方便地进行权限管理。我们可以将多个用户分组，并为每个组分配不同的权限。然后，当我们需要限制某些页面的访问权限时，只需要将授权组作为限制条件，即可达到限制访问的目的。

例如，我们可以在后台 admin 页面中创建两个授权组：管理员和普通用户。管理员组具有所有权限，而普通用户组只能访问以 view_ 开头的权限页面。

接下来，我们可以在终端中使用以下命令来创建授权组：

python manage.py createsuperuser # 创建超级用户
python manage.py createsuperuser # 创建普通用户

然后，登录后台 admin 页面，并分别将两个用户添加到对应的授权组中。

最后，我们需要在 Permission 模型中添加一个 ManyToManyField，来关联授权组和权限：

# myapp/models.py

from django.contrib.auth.models import Group
from django.db import models

class Permission(models.Model):
    name = models.CharField(max_length=100)
    description = models.TextField()
    groups = models.ManyToManyField(Group, related_name='permissions')

然后，我们需要修改 check_permissions 函数，以检查用户所在的授权组是否具有指定的权限：

# myapp/middleware.py

def check_permissions(user, permission_name):
    if user.is_superuser:
        return True
    try:
        permission = Permission.objects.get(name=permission_name)
    except Permission.DoesNotExist:
        return False
    if user.groups.filter(permissions=permission).exists():
        return True
    return False

最后，我们只需要在视图函数中指定授权组即可：

# myapp/views.py

@login_required
@permissions_required(['add_permission', 'change_permission'], groups=['admin'])
def add_permission(request):
    if request.method == 'POST':
        # 处理 POST 请求
    else:
        # 处理 GET 请求

上面的示例中，只有属于 admin 组的用户才能访问 add_permission 页面。