django 自定义权限系统

django 自定义权限系统

最近项目中需要做套权限管理系统，功能需求是对后端当前所有接口添加个权限验证功能，如果用户有访问这个接口权限则返回数据，没有这个接口的权限就提示用户无权访问该接口。

用户权限管理的思路，对角色进行权限的管理，判断用户属于哪些个角色，这些角色有哪些权限，用户就会有其角色对应的权限。总的来说是基于RABC 权限控制。

权限管理用到的 models 模型有
1.角色模型
2.权限名称模型
3.用户模型

相关模型代码如下:

class PowerDetail(BaseModel):
    name = models.CharField(verbose_name="权限明细名称", max_length=20)
    code = models.CharField(verbose_name="权限明细编码", max_length=50, unique=True)

    class Meta:
        db_table = "base_power_detail"
        unique_together = ("code", "name")
        verbose_name = "角色权限明细"
        verbose_name_plural = "角色权限明细"
        ordering = ["id"]

    def __str__(self):
        return self.name


class Role(BaseModel):
    user = models.ManyToManyField(BaseUser, related_name="roles")
    name = models.CharField(verbose_name="角色名称", max_length=20)
    power_detail = models.ManyToManyField(PowerDetail, related_name="roles")

    class Meta:
        verbose_name = "用户角色角色"
        verbose_name_plural = "用户角色"

    def __str__(self):
        return self.name

对用户判断权限时是查询 redis ，没有走 mysql 数据库，这样可以减少数据库访问的压力。用户的角色管理和角色的权限管理我是通过django自带的 admin 进行管理。管理用户角色时，会把用户对应的权限保存到 redis 中。

判断用户是否有权限的代码是通过一个装饰器 check_power 实现的，代码如下:

def check_user_power(user, power_code):
    """判断员工是否有 power_code 对应的权限"""
    return r_db.sismember(get_user_power_key(user), power_code)


# 给类方法添加的装饰器
def check_power(code):
    def decode(func):
        def wrapper(self, request, *args, **kwargs):
            user = request.login_user
            if not check_user_power(user, code):
                return Response({
     "error": "没有权限操作", "code": 401})
            res = func(self, request, *args, **kwargs)
            return res
        return wrapper
    return decode

class V1VideoClassView(APIView):
    @check_power(PowerDetailCode.category_label_manage.code)
    def get(self, request):
        """视频分类"""
        # {"id", "类别名称"}
        res = [{
     "id": key, "name": value} for key, value in class_dict.items()]
        return Response(res)

关注我的微信公众号，回复 权限 获得完整源码: