django越权控制

最新推荐文章于 2025-12-20 09:26:15 发布

原创最新推荐文章于 2025-12-20 09:26:15 发布 · 134 阅读

0 ·

CC 4.0 BY-SA版权

文章标签：

#django #python #后端

文章介绍了如何在`CustomPermission`类中实现自定义权限控制，区分一般用户的权限和超级管理员权限，通过`has_permission`和`has_object_permission`方法检查用户对资源的访问权限，以防止越权操作。

# 越权控制
class CustomPermission(permissions.BasePermission):
    def has_permission(self, request, view):  # 每次请求的时候都会走一下这里
        return bool(request.user and request.user.is_authenticated)

    def has_object_permission(self, request, view, obj):  # 在调用self.getObjecth会走一次这里
        # obj: 需要查询的用户id
        # request: 登录认证后的用户（token里面的用户）
        if request.user.is_superuser:  # 超管可以随便查
            return True
        else:
            return request.user.id == obj.id