django-rest-framework-guardian 教程

django-rest-framework-guardian 教程

1. 项目介绍

django-rest-framework-guardian 是一个专为 Django REST Framework 设计的插件，它提供了与 django-guardian 的集成方案。django-guardian 是一个著名的权限管理系统，用于实现细粒度的对象级权限控制（Object-Level Permission）。通过这个插件，您可以在基于 Django REST Framework 构建的API上轻松实现复杂的权限管理功能，确保仅授权用户能够访问或操作特定资源。

2. 快速启动

要迅速开始使用 django-rest-framework-guardian，遵循以下步骤：

安装插件

首先，通过pip安装插件到您的Python环境：

pip install djangorestframework-guardian

配置Django项目

接下来，在您的Django项目中配置 settings.py 文件：

INSTALLED_APPS = [
    # ...
    'rest_framework',
    'guardian',  # 添加guardian到你的应用列表
    # ...
]

AUTHENTICATION_BACKENDS = [
    'django.contrib.auth.backends.ModelBackend',
    'guardian.backends.ObjectPermissionBackend',  # 添加此行以启用对象级权限支持
]

确保您的Django REST Framework已经正确配置并添加至 INSTALLED_APPS。

3. 应用案例和最佳实践

实现对象级权限过滤

使用 ObjectPermissionsFilter 可确保查询集只返回用户有权查看的对象。为了做到这一点，您可能还需要定义或使用一个适合的对象权限类，例如通过扩展 DjangoObjectPermissions 并添加 'view' 权限到 perms_map 中：

from guardian.shortcuts import assign_perm
from rest_framework.filters import BaseFilterBackend
from guardian.core import ObjectPermissionChecker
from guardian.models import Group

class CustomObjectPermissionsFilter(BaseFilterBackend):
    def filter_queryset(self, request, queryset, view):
        checker = ObjectPermissionChecker(request.user)
        perm = f'{view.permission_required}.*'
        return queryset.filter(
            pk__in=[obj.pk for obj in queryset
                     if checker.has_perm(perm, obj)]
        )

# 示例权限分配，假设您有一个User模型
user = User.objects.get(username='example_user')
your_model_instance = YourModel.objects.create(...)
assign_perm('view_yourmodel', user, your_model_instance)

在视图中应用权限

在视图设置中使用自定义权限类，确保只有有权限的用户可以访问：

from rest_framework.permissions import IsAuthenticatedOrReadOnly
from .permissions import DjangoObjectPermissionsWithView

class MyProtectedViewSet(viewsets.ModelViewSet):
    queryset = MyModel.objects.all()
    serializer_class = MyModelSerializer
    permission_classes = [IsAuthenticatedOrReadOnly, DjangoObjectPermissionsWithView]

4. 典型生态项目

虽然直接关联的典型生态项目并不多讨论，但 django-rest-framework-guardian 在处理复杂权限场景时，常与其他Django生态中的权限管理工具或中间件搭配使用，比如DRF的安全组件和自定义认证机制。此外，对于那些构建大型RESTful API服务的开发者来说，结合使用Django Rest Framework的版本控制、序列化及分页等功能，与guardian的深度整合，是保障数据安全与实现精细权限管理的关键手段。

通过上述教程，您可以顺利地将 django-rest-framework-guardian 引入到您的Django RESTful项目中，提供强大的对象级权限控制能力。