Django-Guardian 对象权限检查机制详解-优快云博客

本文链接：https://blog.youkuaiyun.com/gitblog_00773/article/details/148552894

Django-Guardian 对象权限检查机制详解

django-guardian 项目地址: https://gitcode.com/gh_mirrors/dja/django-guardian

前言

在Django开发中，权限管理是一个至关重要的环节。Django-Guardian作为Django生态中最受欢迎的权限扩展库之一，提供了强大的对象级权限控制能力。本文将深入解析Django-Guardian中的权限检查机制，帮助开发者更好地理解和应用这一功能。

基础权限检查

标准检查方式

Django本身提供了基础的权限检查方法has_perm，Django-Guardian在此基础上扩展了对对象级权限的支持：

# 检查用户是否有全局权限
joe.has_perm('sites.change_site')  # 返回False

# 检查用户对特定对象是否有权限
site = Site.objects.get_current()
joe.has_perm('sites.change_site', site)  # 返回False

当我们需要检查用户对某个具体模型实例的权限时，只需将对象实例作为第二个参数传入即可。

权限分配后的检查

通过Django-Guardian分配权限后，检查方式保持不变：

from guardian.shortcuts import assign_perm
assign_perm('sites.change_site', joe, site)

# 重新获取用户实例后检查
joe = User.objects.get(username='joe')
joe.has_perm('sites.change_site', site)  # 现在返回True

视图中的权限检查

快捷方法get_perms

Django-Guardian提供了get_perms快捷方法，可以方便地获取用户对某个对象的所有权限：

from guardian.shortcuts import get_perms

perms = get_perms(joe, site)
'change_site' in perms  # 返回True

这个方法特别适合需要检查多个权限的场景，或者当我们需要处理Group实例时。

更细粒度的权限检查

对于需要区分权限来源的场景，Django-Guardian提供了两个专用方法：

get_user_perms: 仅获取直接分配给用户的权限
get_group_perms: 仅获取通过用户组继承的权限

from guardian.shortcuts import get_user_perms, get_group_perms

# 直接权限
user_perms = get_user_perms(joe, site)

# 组权限
group_perms = get_group_perms(joe, site)

获取用户有权限的对象列表

在实际开发中，我们经常需要获取用户有特定权限的所有对象。Django-Guardian的get_objects_for_user方法完美解决了这个问题：

from guardian.shortcuts import get_objects_for_user

def user_dashboard(request):
    projects = get_objects_for_user(request.user, 'projects.view_project')
    # 渲染模板...

这个方法支持多种高级用法：

可以传入权限列表而非单个权限字符串
可以指定自定义查询集
可以控制是否包含用户组的权限

高级权限检查

ObjectPermissionChecker类

对于需要频繁检查权限的场景，Django-Guardian提供了ObjectPermissionChecker类，它具有缓存机制，能显著提高性能：

from guardian.core import ObjectPermissionChecker

checker = ObjectPermissionChecker(joe)
checker.has_perm('change_site', site)  # 返回True
checker.has_perm('add_site', site)    # 不产生额外查询
checker.get_perms(site)               # 返回['change_site']

装饰器检查

Django-Guardian扩展了Django的权限装饰器，支持对象级权限检查：

from guardian.decorators import permission_required_or_403

@permission_required_or_403('auth.change_group', (Group, 'name', 'group_name'))
def edit_group(request, group_name):
    return HttpResponse('some form')

这个装饰器会在视图执行前进行权限检查，如果权限不足则返回403响应。

模板中的权限检查

Django-Guardian还提供了模板标签，方便在模板中进行权限检查：

{% load guardian_tags %}

{% get_obj_perms user for object as "object_perms" %}
{% if "change_site" in object_perms %}
    <!-- 显示编辑按钮 -->
{% endif %}