随笔- 2 文章- 0 评论- 0 阅读- 750

基于JWT的认证类、RBAC权限控制的使用、SimpleUi的使用

排序和过滤源码分析

# 继承了GenericAPIView+ListModelMixin，只要在视图类中配置filter_backends它就能实现过滤和排序
    -drf内置的过滤类（SearchFilter），排序类（OrderingFiler）
    -django-filter
    -自定义：写一个类，继承BaseFilterBackend，重写filter_queryset，返回的qs对象，就是过滤或排序后的
    
    
# 只有获取多有才涉及到排序
	-list方法
    def list(self, request, *args, **kwargs):
        # self.get_queryset()所有数据，经过了self.filter_queryset返回了qs
        # self.filter_queryset完成的过滤
        queryset = self.filter_queryset(self.get_queryset())
        # 如果有分页，走的分页----》视图类中配置了分页类
        page = self.paginate_queryset(queryset)
        if page is not None:
            serializer = self.get_serializer(page, many=True)
            return self.get_paginated_response(serializer.data)
	   # 如果没有分页，走正常的序列化，返回
        serializer = self.get_serializer(queryset, many=True)
        return Response(serializer.data)
    
    
    -self.filter_queryset完成了过滤，当前在视图类中，self是视图类的对象，去视图类中找没找到，去父类---》GenericAPIView---》filter_queryset
    
        def filter_queryset(self, queryset):
            for backend in list(self.filter_backends):
                queryset = backend().filter_queryset(self.request, queryset, self)
            return queryset
        
        
        
  # 总结：
	-写的过滤类要重写filter_queryset，返回qs（过滤或排序后）对象
    -后期如果不写过滤类，只要在视图类中重写filter_queryset，在里面实现过滤也可以

基于JWT的认证类

class JwtAuthentication(BaseAuthentication):
    def authenticate(self, request):
        # 放在头中的字符串从META中取 token-->HTTP_TOKEN  Authorization--->HTTP_AUTHORIZATION
        # 取出前端传过来的token串
        jwt_value = request.META.get('HTTP_TOKEN')
        if jwt_value:
            try:
                payload = jwt_decode_handler(jwt_value)
            except jwt.ExpiredSignature:
                msg = _('Signature has expired.')
                raise exceptions.AuthenticationFailed(msg)
            except jwt.DecodeError:
                msg = _('Error decoding signature.')
                raise exceptions.AuthenticationFailed(msg)
            except jwt.InvalidTokenError:
                raise exceptions.AuthenticationFailed()
            # 执行到这说明token合法 paylod可以使用,可以返货userId
            user_id = payload.get('user_id')
            
            # 也可以返回整个user对象 但是这样每次都要查数据库 效率不高
            # user = UserInfo.objects.filter(pk=user_id).first()
            return user_id, jwt_value
        else:
            raise AuthenticationFailed('您没有携带token')

RBAC的介绍和使用

RBAC 是基于角色的访问控制（Role-Based Access Control ）

在 RBAC  中，权限与角色相关联，用户通过成为适当角色的成员而得到这些角色的权限。这就极大地简化了权限的管理。这样管理都是层级相互依赖的，权限赋予给角色，而把角色又赋予用户，这样的权限设计很清楚，管理起来很方便。

RBAC权限管理的模式，最适合公司内部的管理系统，不适合对外互联网用户的系统
权限三表：
	-User：用户表
	-Group：部门/角色表
	-Permission：权限表
-权限：所有权限都是存在权限表中一条条的记录（发工资，招聘员工，开员工，发布新版本，开董事会）
-角色：权限是授予角色的(部门的)，一个个角色，就是一条条记录（开发角色，hr角色，股东角色）
-用户：一个个用户对应一个或多个角色(部门)

三张表的关系：
	-用户和角色关系：多对多，中间表
	-角色和权限关系：多对多，中间表
由此产生权限5表：	
	-用户表
    -角色表
    -权限表
    -用户和角色关联表
    -角色和权限关联表
举例子：
    用户表：
    id     姓名 
    1      张三
    2      里斯
    角色表
    id    角色名称
    1      hr角色
    2      股东角色
    3      开发角色
    权限表
    id   权限名词
    1     发工资
    2     招人
    3     提交代码

    #####张三要有提交代码的权限
    用户和角色中间表：
    id   角色id   用户id
    1     3       1 
    权限和角色的中间表
    id    角色id   权限id
    1       3       3


# django的后台管理admin就自带了rbac的权限，通过auth模块来实现，比普通rbac多了一张表
启用了admin和auth，这6张表就迁移进去了
权限6表：
    auth_user # 用户表
    auth_group # 角色，组，部门表
    auth_permission # 权限表
    auth_user_groups # 用户和角色中间表
    auth_group_permissions # 角色跟权限中间表
    auth_user_user_permissions # 用户和权限的中间表  django 的admin后台管理附带的第6张表

ACL、RBAC、ABAC(PBAC,CBAC)权限控制的介绍

ACL：基于用户的权限管理模型

基于用户的概念就是说直接对用户进行权限分配管理，好处是模型构建简单，只需要给用户授予或者取消对应权限即可。但是相对的，如果用户数量庞大的情况下，这套模型就很不实用。因为需要对每一位用户对应权限进行维护，这导致维护成本太高。

用户---权限

RBAC：基于角色的权限管理

角色的概念就是对用户的一个升级，管理者不需要考虑用户和权限关系。只需要给用户某种角色，然后对角色授予或者取消对应权限。模型构建相对复杂，但是在用户数量大的情况下，还是需要维护角色和权限关系，以及用户和角色关系。

用户---角色---权限
用户角色中间表
角色权限中间表
# 用户权限中间表(django的admin后台管理额外附带的)

ABAC：基于属性的权限管理模型

ABAC对用户本身的属性进行标识，通过标识来判断用户权限。这样的设计使得ABAC非常灵活，可扩展性也很高。
ABAC一般来说，都是搭配着ACL或RBAC一起使用，不会单独成体系。在设计中，只需要在user表中加入对应字段即可，例如：某平台只允许15到50岁之间的用户注册，那么需要在user表中加入age字段。

传统的ACL、RBAC的架构是
{subject,action,object},

而ABAC的架构是
{subject,action,object,contextual}且为他们添加了parameter(参数)。
subject属性：比如用户的年龄、部门、角色、威望、积分等主题属性。
action属性：比如查看、读取、编辑、删除等行为属性。
object属性：比如银行账户、文章、评论等对象或资源属性。
contextual属性：比如时段、IP位置、天气等环境属性。

casbin的介绍和使用

casbin：方便我们快速做权限控制（acl，rbac。。。。）


import casbin

e = casbin.Enforcer("./model.conf", "./policy.csv")

sub = "lqz"  # 想要访问资源的用户
obj = "book"  # 将要被访问的资源
act = "get"  # 用户对资源进行的操作


# 自己写acl的控制
# 当前用户id，去权限和用户表查询即可，有记录就是有权限

# 自己写rbac
# 当前用户id，找到他的角色，根据角色拿出权限，判断当前访问有没有


if e.enforce(sub, obj, act):
    # 允许alice读取data1
    print('有权限')
else:
    # 拒绝请求，抛出异常
    print('没有权限')

model.conf

[request_definition]
r = sub, obj, act

[policy_definition]
p = sub, obj, act

[policy_effect]
e = some(where (p.eft == allow))

[matchers]
m = r.sub == p.sub && r.obj == p.obj && r.act == p.act

policy.csv

p,alice,data1,read
p,bob,data2,write
p,lqz,book,get

后台管理simplui的介绍和使用


# django admin自带了权限控制，但是是前后端混合的，我们可以二次开发，开发出公司内部的自动化运行，自动化测试，人事管理系统，订单系统。。。。样子不好看
# 对django admin进行美化
	-xadmin（不用了，过时了）
    -simpleui（正红）


# 基于drf+vue 自己写前后端分离的权限管理
# go-vue-admin


# 使用simpleui

settings.py

import time

SIMPLEUI_CONFIG = {
    'system_keep': False,
    'menu_display': ['我的首页', '图书管理','权限认证', '多级菜单测试', '动态菜单测试'],  # 开启排序和过滤功能, 不填此字段为默认排序和全部显示, 空列表[] 为全部不显示.
    'dynamic': True,  # 设置是否开启动态菜单, 默认为False. 如果开启, 则会在每次用户登陆时动态展示菜单内容
    'menus': [
        {
            'name': '我的首页',
            'icon': 'fas fa-code',
            'url': '/index/',

        },
        {
            'app': 'app01',
            'name': '图书管理',
            'icon': 'fas fa-code',
            'models': [
                {
                    'name': '用户',
                    'icon': 'fa fa-user',
                    'url': 'app01/userinfo/'
                },
                {
                    'name': '图书',
                    'icon': 'fa fa-user',
                    'url': 'app01/book/'
                },
                {
                    'name': '出版社',
                    'icon': 'fa fa-user',
                    'url': 'app01/publish/'
                },
            ]
        },
        {
            'app': 'auth',
            'name': '权限认证',
            'icon': 'fas fa-user-shield',
            'models': [{
                'name': '用户',
                'icon': 'fa fa-user',
                'url': 'auth/user/'
            }]
        },
        {
            # 自2021.02.01+ 支持多级菜单，models 为子菜单名
            'name': '多级菜单测试',
            'icon': 'fa fa-file',
            # 二级菜单
            'models': [
                {
                    'name': '百度',
                    'icon': 'far fa-surprise',
                    # 第三级菜单 ，
                    'models': [
                        {
                            'name': '爱奇艺',
                            'url': 'https://www.iqiyi.com/dianshiju/'
                            # 第四级就不支持了，element只支持了3级
                        },
                        {
                            'name': '百度问答',
                            'icon': 'far fa-surprise',
                            'url': 'https://zhidao.baidu.com/'
                        }
                    ]
                },
                {
                    'name': 'lqz',
                    'url': 'https://www.wezoz.com',
                    'icon': 'fab fa-github'
                }]
        },
        {
            'name': '动态菜单测试',
            'icon': 'fa fa-desktop',
            'models': [{
                'name': time.time(),
                'url': 'http://baidu.com',
                'icon': 'far fa-surprise'
            }]
        }]
}


SIMPLEUI_LOGIN_PARTICLES = False
SIMPLEUI_HOME_INFO = False

admin.py

from django.contrib import admin

# Register your models here.

from .models import *


@admin.register(Book)
class BookAdmin(admin.ModelAdmin):
    list_display = ('id', 'title', 'price')

    # 增加自定义按钮
    actions = ['make_copy', ]
    def make_copy(self, request, queryset):
        print('adsfasdf')
    make_copy.short_description = '自定义按钮'
    # # icon，参考element-ui icon与https://fontawesome.com
    make_copy.icon = 'fas fa-audio-description'
    # # 指定element-ui的按钮类型，参考https://element.eleme.cn/#/zh-CN/component/button
    make_copy.type = 'danger'
    make_copy.confirm = '你是否执意要点击这个按钮？'



admin.site.register(UserInfo)
admin.site.register(Publish)