Django实现Rbac权限管理
权限管理
权限管理是根据不同的用户有相应的权限功能，通常用到的权限管理理念Rbac.
Rbac
基于角色的权限访问控制（Role-Based Access Control）作为传统访问控制（自主访问，强制访问）的有前景的代替受到广泛的关注。在RBAC中，权限与角色相关联，用户通过成为适当角色的成员而得到这些角色的权限。这就极大地简化了权限的管理。在一个组织中，角色是为了完成各种工作而创造，用户则依据它的责任和资格来被指派相应的角色，用户可以很容易地从一个角色被指派到另一个角色。角色可依新的需求和系统的合并而赋予新的权限，而权限也可根据需要而从某角色中回收。角色与角色的关系可以建立起来以囊括更广泛的客观情况。
数据库表体现
在后端数据库rbac的表现是,一张用户表，一张职位表，还有一张权限表，用户多对多职位表，因为同一个人可能拥有多个职位，职位表多对多权限权限表，一个职位可拥有多个权限，权限在web的体现就是url地址，你必须有相对url的权限才能访问页面，从而限制你的功能
简单rbac表例子：
可以看出对于关于用户的增删改查功能的权限就是你能访问对应的url。例如boss职位我可以给他分配所有的权限，在职位权限表中可以看出boss拥有所有的权限。
如何实现
现在你可以给一个用户指定职位以及职位的权限，那么django中如何实现权限管理。首先你的知道django的运作流程，看下面的图：
用过django框架的很容易看懂这张图，简单来说流程如下：
- wsgiref模块负责接受和发送底层的socket消息
- 中间件为全局钩子对django的输入和输出进行操作
- 路由系统根据url执行相应的视图函数
- 视图函数调用数据库和模板语言渲染html文件返回给前段
所以我们可以自己写一个中间件来实现权限管理
实现原理分析
登录后要做的事：
- 登录成功后从数据库中获取当前用户的所有权限，也就是所有的url地址
- 利用session的特点将登录用户的所有url地址以键值对的形式保存
写一个中间件实现以下功能：
- 除了访问白名单中的url，都必须校验权限
- 根据请求的session判断当前用户的权限即获取能访问得url，没有登录则获取不到
- 校验通过则运行执行django下一步流程
- 校验不通过则返回没有权限提示，或返回登录页面
具体实现
数据库
from django.db import models
# Create your models here.
class Permission(models.Model):
title = models.CharField(max_length=22)
url = models.CharField(max_length=32)
def __str__(self):
return self.title
class Meta:
verbose_name ='权限'
verbose_name_plural=verbose_name
class UserInfo(models.Model):
username = models.CharField(max_length=32)
password = models.CharField(max_length=32)
roles = models.ManyToManyField(to='Role')
class Meta:
verbose_name ='用户'
verbose_name_plural=verbose_name
def __str__(self):
return self.username
class Role(models.Model):
title = models.CharField(max_length=32)
permissions =models.ManyToManyField(to='Permission',null=True,blank=True)
class Meta:
verbose_name ='角色'
verbose_name_plural=verbose_name
def __str__(self):
return self.title
登录校验的中间件
from django.utils.deprecation import MiddlewareMixin
import re
from django.shortcuts import redirect
class ValidLogin(MiddlewareMixin):
def process_request(self,request):
# 获取当前请求的url
now_url = request.path_info
wirte_url = ['admin/.*','login/']
print(now_url)
for url in wirte_url:
if re.match(r'^/{}$'.format(url),now_url):
print('白名单通过')
return
if request.session.get('user',''):
print(request.session.get('user',''))
print('已经登录')
return
else:
next_url = '/login/?next='+now_url
print(next_url)
return redirect(next_url)
登录视图
from django.shortcuts import render,HttpResponse,redirect
from django.http import JsonResponse
# Create your views here.
from rbac.models import UserInfo,Permission,Role
def login(request):
ret = {'ret':0}
#获取因权限不足跳转到登录页面的原url,获取不到默认/customer/list/
next_url = request.GET.get('next','/customer/list/')
if request.method=='POST':
#post请求，获取前端发送的账号和密码
name = request.POST.get('email')
pwd = request.POST.get('pwd')
#根据获取到的账号密码去数据库筛选
user_obj = UserInfo.objects.filter(username=name,password=pwd).first()
if user_obj:
ret={'ret':1}
ret['url']=next_url
# 如果筛选成功则跨边将用户所有的权限url取出来
permission_queryset = user_obj.roles.all().filter(permissions__isnull=False).values_list('permissions__url')
#利用生成器保存url
permission_list = [i[0] for i in permission_queryset]
#设置到session中
request.session['permission_list'] = permission_list
else:
ret['msg']='账号密码错误'
return JsonResponse(ret)
#如果是get请求直接返回页面
return render(request,'login.html')
def logout(request):
request.session.flush()
return redirect('login')
中间件
class RBACMiddleware(MiddlewareMixin):
def process_request(self, request):
#白名单url
wirte_url = [reverse('login'),reverse('logout')]
#获取当前的url
current_url = request.path_info
print('当前url',current_url)
#如果当前请求的url是白名单的url直接放行：
for url in wirte_url:
if re.match(r'^{}$'.format(url),current_url):
print('白名单通过')
return
#否则判断当前请求url是否在当前登录的用户的权限url中
#获取session中保存的用户权限url表
permission_list = request.session.get('permission_list',[])
for url in permission_list:
if re.match(r'^{}$'.format(url),current_url):
print(permission_list)
print('权限通过')
return
else:
return HttpResponse('没有权限')
