Django如何实现RBAC权限管理

下面是Django如何实现RBAC权限管理的完整攻略。

什么是RBAC权限管理

RBAC（Role-Based Access Control）是一种基于角色的访问控制，可以有效地管理用户权限。在RBAC中，用户被分配到不同的角色中，每个角色具有特定的权限。这样，在访问应用程序中的资源时，需要首先授权用户角色，然后根据用户角色允许或禁止访问资源。

Django如何实现RBAC权限管理

实现Django的RBAC权限管理，通常有以下几个步骤：

1. 安装django-rbac

Django-rbac是一个基于Django的RBAC权限管理解决方案。可以通过以下命令安装：

pip install django-rbac

2. 创建权限模型

在创建权限模型之前，需要先定义用户角色（Role）和权限（Permission）。

权限（Permission）模型通常包含以下字段：

• label：权限标签，用于在界面上显示权限名称；
• codename：权限代码，用于在代码中进行权限判断。

用户角色（Role）模型通常包含以下字段：

• name：角色名称；
• permissions：外键关联Permission表，表示角色对应的权限。

from django.db import models

class Permission(models.Model):
    label = models.CharField(max_length=50)
    codename = models.CharField(max_length=50, unique=True)

    def __str__(self):
        return self.label

class Role(models.Model):
    name = models.CharField(max_length=50)
    permissions = models.ManyToManyField(Permission)

    def __str__(self):
        return self.name

3. 创建自定义权限验证后端

定义一个RBAC后端，使Django使用我们自己的模型来进行权限验证。

from django.contrib.auth.backends import BaseBackend
from django.contrib.auth.models import Permission
from django.db.models import Q

class RBACBackend(BaseBackend):
    def has_perm(self, user_obj, perm, obj=None):
        if user_obj.is_superuser or not user_obj.is_active:
            return True

        if hasattr(perm, 'action') and hasattr(perm, 'target'):
            perm = f'{perm.action}_{perm.target}'

        roles = user_obj.roles.all()
        if perm in [p.codename for r in roles for p in r.permissions.all()]:
            return True
        return False

    def get_all_permissions(self, user_obj, obj=None):
        if user_obj.is_superuser or not user_obj.is_active:
            return Permission.objects.all().values_list('codename', flat=True)

        roles = user_obj.roles.all()
        perms = Permission.objects.filter(
            Q(role__in=roles) | Q(role=None)
        ).distinct().values_list('codename', flat=True)
        return perms

    def get_group_permissions(self, user_obj, obj=None):
        return set()

    def get_user_permissions(self, user_obj, obj=None):
        if not user_obj.is_active:
            return set()
        return self.get_all_permissions(user_obj, obj=None)

4. 设置认证后端

设置Django使用我们定义的RBAC后端进行权限验证。

AUTHENTICATION_BACKENDS = (
    'django.contrib.auth.backends.ModelBackend',
    'path.to.RBACBackend',
)

5. 修改认证模型

设置用户认证模型中的roles字段，使用户可以定义所属的角色。

from django.db import models
from django.contrib.auth.models import AbstractUser

class User(AbstractUser):
    roles = models.ManyToManyField('Role')

6. 添加视图函数

在视图函数中使用has_perm函数进行权限验证即可。

from django.contrib.auth.decorators import login_required, permission_required
from django.shortcuts import render

@login_required
@permission_required('article.view_article', raise_exception=True)
def article_list(request):
    articles = Article.objects.all()
    return render(request, 'article_list.html', {'articles': articles})

这里的@permission_required是Django自带的装饰器，可以直接使用。如果需要使用自定义的装饰器，可以使用has_perm函数进行判断。

from django.http import HttpResponseForbidden

def my_permission_required(perm, login_url=None, raise_exception=False):
    def decorator(view_func):
        def _wrapped_view(request, *args, **kwargs):
            if not request.user.has_perm(perm):
                if raise_exception:
                    return HttpResponseForbidden('您没有访问该资源的权限！')
                else:
                    return redirect_to_login(request.get_full_path(), login_url, REDIRECT_FIELD_NAME)
            return view_func(request, *args, **kwargs)
        return _wrapped_view
    return decorator

示例说明

示例一：创建角色和权限

from django.contrib.auth.models import Permission
from rbac_example.models import Role

# 创建角色
admin_role = Role.objects.create(name='管理员')
editor_role = Role.objects.create(name='编辑者')

# 创建权限
view_article_perm = Permission.objects.create(codename='view_article', label='查看文章')
edit_article_perm = Permission.objects.create(codename='edit_article', label='编辑文章')
publish_article_perm = Permission.objects.create(codename='publish_article', label='发布文章')

# 给角色分配权限
admin_role.permissions.add(view_article_perm, edit_article_perm, publish_article_perm)
editor_role.permissions.add(view_article_perm, edit_article_perm)

示例二：基于角色展示视图

from django.shortcuts import render
from rbac_example.models import Role
from article.models import Article

def article_list(request):
    roles = request.user.roles.all()
    articles = Article.objects.filter(
        role__in=roles
    ).distinct()
    return render(request, 'article_list.html', {'articles': articles})

在这个示例中，我们展示了当前用户所在角色对应的文章。这里的role字段是在Article模型中自定义的，表示当前文章所属的角色。