Django点滴(1)xadmin+rule对象级权限的实现
来源:互联网 发布:微商渠道网络推广 编辑:程序博客网 时间:2024/06/11 04:01
Django-xadmin+rule对象级权限的实现
Django点滴系列是本人Django使用的一个记录,主要用于踩坑填坑,如果能帮到你,就是我荣幸!
1. 需求vs现状
1.1 需求
要求做一个ERP后台辅助管理的程序,有以下几项基本要求:
1. 基本的增删改查功能
2. 基于对象的权限控制(如:系统用户分为平台运营人员和商家用户,商家用户小A只能查看编辑所属商家记录,而管理员可以纵览全局)
3. 数据库记录导入导出(xsl, json等),并且拥有对象级的权限控制(如:小A不能导出小B公司的信息,更不能导入小B公司信息进行更新和新增)
1.2 现状
- 实现需求1:Django-admin让我们能够很方便的实现一个管理后台程序。django-xadmin则在拥有admin基本功能的基础上增加了更为丰富的功能、界面也更加漂亮。类似还有django-suit等,本文使用xadmin(功能更丰富);
- 实现需求2:django-admin,以及xadmin都只有基于model级的权限控制机制,需要自己扩展或者使用开源解决方案,如django-guardian,django-rules,本文结合django-rules实现了该功能;
- 实现需求3:xadmin虽然自带导出功能,但是导入功能没有实现,django自带后台结合django-import-export可以很容易实现,但是xadmin并不直接兼容,只有通过xadmin的插件机制实现。
2. 功能实现
本节主要展示对象级权限功能实现。django工程、xadmin替换原生admin的设置,请参照官方文档。
2.1 安装并配置rules
pip安装:
$ pip install rules
配置settings.py
# settings.pyINSTALLED_APPS = ( # ... 'rules',)AUTHENTICATION_BACKENDS = ( 'rules.permissions.ObjectPermissionBackend', 'django.contrib.auth.backends.ModelBackend',)
2.2 建立model
新增CompanyUser模型表示商家账户(即对django自带user模块进行扩展,使每个账号绑定自己的公司码),新增Customer模型表示商家的客户信息并包含公司码字段,商家账号只能查看、编辑、导入、导出公司码一致的商家客户信息
# model.pyclass CompanyUser(models.Model): user = models.OneToOneField(User, verbose_name='用户名') is_taixiang_admin = models.BooleanField('是否运营人员', default=False) company_code = models.CharField('公司码', max_length=20, blank=True, default='') def __unicode__(self): return '%s' % self.user class Meta: verbose_name = '导入账号' verbose_name_plural = verbose_name
class Customer(models.Model): name = models.CharField('客户姓名', max_length=50) phone = models.CharField('客户电话', max_length=12) type_choice = ((1, '普通'), (2, '批发'), (3, 'VIP')) creator = models.ForeignKey(settings.AUTH_USER_MODEL, verbose_name='创建人', blank=True, null=True) company_code = models.CharField('公司码', max_length=20, blank=True, null=True) def __unicode__(self): return '%s-%s-%s' % (self.company_code, self.name, self.phone1) class Meta: permissions = ( ("simulate_import_customer", "允许模拟导入客户"), ("import_customer", "允许导入客户至商家系统"), ) verbose_name = "客户" verbose_name_plural = verbose_name
2.2 使用rule
在model统计目录新增rules.py,配置该app相关的对象权限
引用rules
# rules.py# On Python 2, you must also add the following to the top of your rules.py file, or you'll get import errors trying to import django-rules itselffrom __future__ import absolute_import import rules# 使用修饰符@rules.predicate自定义predicates(判断),返回True表示有权限,False表示无权限# Predicates@rules.predicatedef is_colleague(user, entry): if not entry or not hasattr(user, 'companyuser'): return False return entry.company_code == user.companyuser.company_code@rules.predicatedef is_taixiang_admin(user): if not hasattr(user, 'companyuser'): return False return user.companyuser.is_taixiang_admin# predicates间可以进行运算is_colleague_or_taixiang_admin = is_colleague | is_taixiang_admin | rules.is_superuser# 设置Rulesrules.add_rule('can_view_customer', is_colleague_or_taixiang_admin)rules.add_rule('can_delete_customer', is_colleague_or_taixiang_admin)rules.add_perm('can_change_customer', is_colleague_or_taixiang_admin)# 设置Permissionsrules.add_perm('data_import.view_customer', is_colleague_or_taixiang_admin)rules.add_perm('data_import.delete_customer', is_colleague_or_taixiang_admin)rules.add_perm('data_import.add_customer', is_colleague_or_taixiang_admin)rules.add_perm('data_import.change_customer', is_colleague_or_taixiang_admin)
2.3 admin.py以及adminx.py设置
如果使用原生的django-admin,admin.py做如下设置:
# admin.pyfrom __future__ import absolute_importfrom django.contrib import adminfrom rules.contrib.admin import ObjectPermissionsModelAdminfrom .models import Customer# ModelAdmin class继承ObjectPermissionsModelAdmin即可class CustomerAdmin(ObjectPermissionsModelAdmin): passadmin.site.register(Customer, CustomerAdmin)
使用xadmin,由于ObjectPermissionsModelAdmin无法直接使用,故参照源码重写has_change_permission和has_delete_permission方法即可
# adminx.pyclass CustomerAdmin(object): def has_change_permission(self, obj=None): codename = get_permission_codename('change', self.opts) return self.user.has_perm('%s.%s' % (self.app_label, codename), obj) def has_delete_permission(self, obj=None): codename = get_permission_codename('delete', self.opts) return self.user.has_perm('%s.%s' % (self.app_label, codename), obj) # 重写queryset()或者get_list_display(),list view的权限也做到了对象级隔离 def queryset(self): qs = super(CustomerAdmin, self).queryset() if self.request.user.is_superuser or is_taixiang_admin(self.request.user): return qs try: return qs.filter(company_code=self.request.user.companyuser.company_code) except AttributeError: return Noneclass CompanyUserAdmin(object): passxadmin.sites.site.register(Customer, CustomerAdmin)xadmin.sites.site.register(CompanyUser, CompanyUserAdmin)
2.4 效果展示
CompanyUser设置:
商家账号只有所属公司信息权限
运营人员拥有所有记录权限
阅读全文
1 0
- Django点滴(1)xadmin+rule对象级权限的实现
- Django点滴(2)xadmin+django-import-export导入导出的实现
- Django-xadmin的使用
- 基于IMOOC强力django+杀手级xadmin 打造上线标准的在线教育平台课程的学习(1)
- django集成xadmin的方法
- windows下django和xadmin之间的编码出错(1)
- Django学习笔记(八)--xadmin的安装与应用
- 基于IMOOC强力django+杀手级xadmin 打造上线标准的在线教育平台课程的学习(15)——xadmin的扩展
- 基于IMOOC强力django+杀手级xadmin 打造上线标准的在线教育平台课程的学习(13)——xadmin介绍
- Django点滴(四)---ORM对象存取
- 基于Django的xadmin项目应用
- django-xadmin 非常方便的后台管理程序
- django使用xadmin的全局配置
- django xadmin中主题的设置 问题
- 基于IMOOC强力django+杀手级xadmin 打造上线标准的在线教育平台课程的学习(2)
- 基于IMOOC强力django+杀手级xadmin 打造上线标准的在线教育平台课程的学习(3)
- 基于IMOOC强力django+杀手级xadmin 打造上线标准的在线教育平台课程的学习(4)
- 基于IMOOC强力django+杀手级xadmin 打造上线标准的在线教育平台课程的学习(5)
- Java设计模式--工厂模式
- MySql 5.7.13 for Mac 密码重置教程
- 【UGUI】Unity的UGUI实现Button按钮长按状态的判断
- Java安全学习笔记(十一)-RSA算法加密和解密
- 关于android日志工具
- Django点滴(1)xadmin+rule对象级权限的实现
- 遇到的一些问题
- Python字符串format函数
- jQuery Mobile中页面page的data-*选项
- 获得拥有互联网访问权限的应用程序的流量使用信息
- log4j2在Java和Javaweb中使用的注意事项
- 火狐对disabled的不兼容
- Navicat_for_MySQL_10.0.5.0 注册码 安装包
- Struts2中的action中result中的type有哪些类型