权限组件之rbac
rbac：基于角色的权限访问控制（Role-Based Access Control）。
rbac的主要流程：给每个角色赋予不同的权限，是这个角色的员工都有这个角色的所有权限。一个角色可以有多个人员担任，一个员工可以担任多个角色(比如部门经理、业务员等)。当员工成功登陆系统时，系统需要获取这个员工的多有权限，并放到一个列表里面。然后员工在访问每个权限url时，系统需要进行判断该员工有没有这个权限进行这项操作。如何判断？就是循环这个员工的所有权限，看有没有对应的权限。这里用到了re模块里面的match方法。
如下代码：
# 需要先登陆，拿到该员工的权限列表并去重
def login(request): if request.method=="GET": return render(request,"login.html") else: user=request.POST.get("user") pwd=request.POST.get("pwd") user=UserInfo.objects.filter(name=user,pwd=pwd).first() if user: # 验证成功之后做什么？ request.session["user_id"]=user.pk # 设置session # 当前登录用户的所有权限， distinct()是去掉重复的权限 permission_info=user.roles.all().values("permissions__url","permissions__title").distinct() temp=[] # 该员工的全部权限url列表 for i in permission_info: temp.append(i["permissions__url"]) request.session["permission_list"]=temp # {"user_id":1,"permission_list":['/users/','/orders/']} return HttpResponse("登录成功！") else: return redirect("/login/")
登陆成功之后，判断查看用户操作权限
from django.shortcuts import HttpResponse def users(request): # //users/ current_path = request.path_info # 拿到访问的路径 permission_list = request.session.get("permission_list") # 取session，从session表里面取到这个员工的所有权限 ['/order/', '/users/']
if not permission_list: # 用户没有登陆，取不到权限列表
return HttpResponse("login.html") # /users/edit/3 为什么要用正则，因为/users/edit/3 与/users/edit/(/d+)不能直接匹配 import re flag = False # 加上标志位 for permission_url in permission_list: ret = re.match(permission_url, current_path) # 用正则去匹配具体的路径，成功则返回对象， 否则返回None if ret: # 如果返回对象 flag = True break if not flag: return HttpResponse("没有访问权限") return HttpResponse("用户列表") # 有权限
接下来通过中间件来实现这个功能
再创建一个应用名字叫做rbac(当然也可以放到同一个应用里面)，这个应用里面创建一个包service，包里创建一个名字为permission_li.py的文件。
from django.utils.deprecation import MiddlewareMixin from django.shortcuts import redirect,HttpResponse,render class M1(MiddlewareMixin): def process_request(self,request): # //users/ current_path = request.path_info # 拿到访问的路径 permission_list = request.session.get("permission_list") # 从session表里面取到这个员工的所有权限 ['/order/', '/users/'] # /users/edit/3 为什么要用正则，因为/users/edit/3 与/users/edit/(/d+)不能直接匹配 import re flag = False # 加上标志位 for permission_url in permission_list: ret = re.match(permission_url, current_path) # 用正则去匹配具体的路径，成功则返回对象， 否则返回None if ret: # 如果返回对象 flag = True break if not flag: return HttpResponse("没有访问权限")
settings.py里面
MIDDLEWARE = [ 'django.middleware.security.SecurityMiddleware', 'django.contrib.sessions.middleware.SessionMiddleware', 'django.middleware.common.CommonMiddleware', 'django.middleware.csrf.CsrfViewMiddleware', 'django.contrib.auth.middleware.AuthenticationMiddleware', 'django.contrib.messages.middleware.MessageMiddleware', 'django.middleware.clickjacking.XFrameOptionsMiddleware', 'rbac.service.permission_li.M1', # 加在这里 ]
接下来的问题就是，加上中间件之后，登陆页面也没有权限访问了。
我们添加白名单，登陆、注册和admin页面加里即可。
from django.utils.deprecation import MiddlewareMixin from django.shortcuts import redirect,HttpResponse,render class M1(MiddlewareMixin): def process_request(self,request): pass #/admin/login/?next=/admin/ current_path = request.path_info valid_url_menu=["/login/","/reg/","/admin/.*"] import re for valid_url in valid_url_menu: ret=re.match(valid_url,current_path) if ret: return None permission_list = request.session.get("permission_list") if not permission_list: return redirect("/login/") # /users/edit/3 import re flag = False for permission_url in permission_list: ret = re.match(permission_url, current_path) if ret: flag = True break if not flag: return HttpResponse("没有权限")
