Django rest framework源码分析（2）----权限
权限的使用场景
有时候我们的用户分为普通用户，VIP用户和超级VIP用户，有些接口我们需要针对不同的用户设定不同的权限
常用的做法如下：
简单的表结构设计如下：
from django.db import models class UserInfo(models.Model): user_type_choices = ( (1,'普通用户'), (2,'VIP'), (3,'SVIP'), ) user_type = models.IntegerField(choices=user_type_choices) username = models.CharField(max_length=32,unique=True) password = models.CharField(max_length=64) class UserToken(models.Model): user = models.OneToOneField(to='UserInfo') token = models.CharField(max_length=64)
写一个接口只允许登陆后的 SVIP用户 才能访问，代码如下
class OrderView(APIView): """ 订单相关业务(只有SVIP用户有权限) """ def get(self,request,*args,**kwargs): # request.user # request.auth # self.dispatchdispatch if request.user.user_type != 3: return HttpResponse("无权访问") ret = {'code':1000,'msg':None,'data':None} try: ret['data'] = ORDER_DICT except Exception as e: pass return JsonResponse(ret)
为其添加 url
url(r'^api/v1/order/$', views.OrderView.as_view()),
添加一个用户登陆的接口，视图函数代码如下：
class AuthView(APIView): """ 用于用户登录认证 """ authentication_classes = [] def post(self,request,*args,**kwargs): ret = {'code':1000,'msg':None} try: user = request._request.POST.get('username') pwd = request._request.POST.get('password') obj = models.UserInfo.objects.filter(username=user,password=pwd).first() if not obj: ret['code'] = 1001 ret['msg'] = "用户名或密码错误" # 为登录用户创建token token = md5(user) # 存在就更新，不存在就创建 models.UserToken.objects.update_or_create(user=obj,defaults={'token':token}) ret['token'] = token except Exception as e: ret['code'] = 1002 ret['msg'] = '请求异常' return JsonResponse(ret)
为其添加 url
url(r'^api/v1/auth/$', views.AuthView.as_view()),
进行全局认证的配置，在配置文件中添加如下代码：
REST_FRAMEWORK = { # 全局使用的认证类 "DEFAULT_AUTHENTICATION_CLASSES":['api.utils.auth.Authtication', ] }
根据上面配置中的路径，添加认证函数，在应用 api 下创建utils/auth.py 代码如下:
class Authtication(BaseAuthentication): def authenticate(self,request): token = request._request.GET.get('token') print(token) token_obj = models.UserToken.objects.filter(token=token).first() if not token_obj: raise exceptions.AuthenticationFailed('用户认证失败') # 在rest framework内部会将整个两个字段赋值给request，以供后续操作使用 return (token_obj.user, token_obj) def authenticate_header(self, request): return 'Basic realm="api"'
好了，上面就是通常我们在视图函数中对不同的用户进行区分的，简单的测试下，首先登陆生成token值
携带上述生成的token值去访问只能SVIP用户才能访问的接口
用于zhangtao 这个用户是SVIP的用户所以它生成的token，携带它是可以访问的，假如我们使用的不是SVIP用户生成的token去访问该接口是不嫩访问的如下：
以上基本的功能是实现了，但是把一些处理的逻辑都冗杂在处理函数中，显得相对的冗余，那么是否可以通过在视图函数中简单的配置就能实现上述的功能呢，答案肯定是可以的，
先直接上代码，有一个清晰的认识，在分析其源码
在应用 api 下 的utils 目录下创建 permission.py 代码 如下
from rest_framework.permissions import BasePermission # 校验 SVIP 用户 才能访问的验证 class SVIPPermission(BasePermission): message = "必须是SVIP才能访问" def has_permission(self,request,view): if request.user.user_type != 3: return False return True # 除了 SVIP用户都可以访问的验证 class MyPermission1(BasePermission): def has_permission(self,request,view): if request.user.user_type == 3: return False return True
根据使用场景的不同，只需在需要认证的类视图中，添加类属性 permission_classes = [ 需要需要的权限认证函即可 ]
我们把上面只能SVIP用户才能访问的视图做下简单的配置就可以实现相同的效果，修改后的代码如下
from api.utils.permission import SVIPPermission from api.utils.permission import MyPermission1 class OrderView(APIView): """ 订单相关业务(只有SVIP用户有权限) """ permission_classes = [SVIPPermission,] def get(self,request,*args,**kwargs): ret = {'code':1000,'msg':None,'data':None} try: ret['data'] = ORDER_DICT except Exception as e: pass return JsonResponse(ret)
上面的接口只用SVIP用户才可以访问，我们在写一个接口除了SVIP用户，其他的用户都可以访问，代码如下
class UserInfoView(APIView): """ 订单相关业务（普通用户、VIP） """ permission_classes = [MyPermission1, ] def get(self,request,*args,**kwargs): return HttpResponse('用户信息')
为其添加 url
url(r'^api/v1/info/$', views.UserInfoView.as_view()),
添加一个VIP用户 zhangyangcheng
进行测试的结果如下:
权限的源码流程
入口 dispatch
def dispatch(self, request, *args, **kwargs): """ `.dispatch()` is pretty much the same as Django's regular dispatch, but with extra hooks for startup, finalize, and exception handling. """ self.args = args self.kwargs = kwargs # 对原生的request进行封装 request = self.initialize_request(request, *args, **kwargs) self.request = request self.headers = self.default_response_headers # deprecate? try: self.initial(request, *args, **kwargs) # Get the appropriate handler method if request.method.lower() in self.http_method_names: handler = getattr(self, request.method.lower(), self.http_method_not_allowed) else: handler = self.http_method_not_allowed response = handler(request, *args, **kwargs) except Exception as exc: response = self.handle_exception(exc) self.response = self.finalize_response(request, response, *args, **kwargs) return self.response
追踪 initial 代码如下
def initial(self, request, *args, **kwargs): """ Runs anything that needs to occur prior to calling the method handler. """ self.format_kwarg = self.get_format_suffix(**kwargs) # Perform content negotiation and store the accepted info on the request neg = self.perform_content_negotiation(request) request.accepted_renderer, request.accepted_media_type = neg # Determine the API version, if versioning is in use. version, scheme = self.determine_version(request, *args, **kwargs) request.version, request.versioning_scheme = version, scheme # Ensure that the incoming request is permitted # 实现认证 self.perform_authentication(request) # 权限判断 self.check_permissions(request) self.check_throttles(request)
我们可以看到最下面 self.check_permissions(request) 检测权限，追踪其代码如下
def check_permissions(self, request): """ Check if the request should be permitted. Raises an appropriate exception if the request is not permitted. """ for permission in self.get_permissions(): if not permission.has_permission(request, self): self.permission_denied( request, message=getattr(permission, 'message', None) )
大致意思是在权限认证的对象中如果没有通过认证就会抛出异常，如果通过权限的认证，就不做处理， 所以这时候我们就知道了，为什么我们在写权限认证类中要重写 has_permission 方法了，message是一个类属性，在认证失败的时候，抛出的提示信息
我们来追踪 for 循环中的self.get_permissions() 看其代码如下：
def get_permissions(self): """ Instantiates and returns the list of permissions that this view requires. """ # 权限的对象列表 return [permission() for permission in self.permission_classes]
到这里我们就可以看到 返回的是一个权限认证的对象列表，这也就说明了为什么我们在视图中如果使用我们自己配置的权限，只需简单的设置类属性 permission_class = [ 需要认证的权限 ] 即可
进行全局的权限认证的配置
在上面的源码中让我们来继续追踪 self.permission_class 的代码如下
继续追踪 permission_classes 我们可以看到
api_settings = APISettings(None, DEFAULTS, IMPORT_STRINGS) def reload_api_settings(*args, **kwargs): setting = kwargs['setting'] if setting == 'REST_FRAMEWORK': api_settings.reload()
通过上面的源码追踪，所以我们如果想要进行全局权限认证配置的话，只需在配置文件中对 REST_FRAMEWORK 中添加 权限认证类视图的路径（DEFAULT_PERMISSION_CLASSES）即可 ，配置的代码如下：
默认的是只有SVIP用户才可以进行访问
REST_FRAMEWORK = { # 全局使用的认证类 "DEFAULT_AUTHENTICATION_CLASSES":['api.utils.auth.FirstAuthtication','api.utils.auth.Authtication', ], "UNAUTHENTICATED_USER":lambda :"匿名用户", "UNAUTHENTICATED_TOKEN":None, "DEFAULT_PERMISSION_CLASSES":['api.utils.permission.SVIPPermission'],# 默认的权限认证 }
如果我们在定义只有SVIP用户才能访问的接口是，则不需要在设置类属性的认证，代码如下
class OrderView(APIView): """ 订单相关业务(只有SVIP用户有权限) """ def get(self,request,*args,**kwargs): ret = {'code':1000,'msg':None,'data':None} try: ret['data'] = ORDER_DICT except Exception as e: pass return JsonResponse(ret)
如果我们在默认使用全局是对SVIP才能访问的情况下，添加一个视图函数除了SVIP用户所有的用户都可以访问，根据类的性质，只需使用我们自己的权限认证，就不会使用父类的，代码如下
class UserInfoView(APIView): """ 订单相关业务（普通用户、VIP） """ permission_classes = [MyPermission1, ] def get(self,request,*args,**kwargs): self.dispatch() return HttpResponse('用户信息')
内置权限
django-rest-framework内置权限BasePermission
默认是没有限制权限
class BasePermission(object): """ A base class from which all permission classes should inherit. """ def has_permission(self, request, view): """ Return `True` if permission is granted, `False` otherwise. """ return True def has_object_permission(self, request, view, obj): """ Return `True` if permission is granted, `False` otherwise. """ return True
我们自己写的权限类，为了规范建议都应该去继承BasePermission
总结：
（1）使用
- 自己写的权限类：1.必须继承BasePermission类； 2.必须实现：has_permission方法
（2）返回值
- True 有权访问
- False 无权访问
（3）局部
- permission_classes = [MyPremission,]
（4）全局
REST_FRAMEWORK = {
#权限
"DEFAULT_PERMISSION_CLASSES":['API.utils.permission.SVIPPremission'],
}
