在Odoo中,使用用户组(res.groups)来管理权限,一个特殊的用户组是 员工/员工(base.group_user) 组,所有的用户都属于这个组,这个组里包含一些基本的权限。
四种权限级别(粒度越来越细):
1.菜单/对象级别
设置哪些人可以访问哪些菜单/对象,对象的访问权限包括创建、读、写、删除。
2.记录级别
设置哪些人可以访问哪些记录,也就是设置表的查询条件。
3.字段级别
设置表中的字段的访问权限。
4.工作流级别(很少用到)
在工作流的每一步迁移中,设置哪些角色允许触发本迁移
下面示例使用的是account模块中的代码,所以大家有什么问题可以去odoo源码查询。
关于权限的文件一般在security文件夹中,
xxx_security.xml文件定义用户组和用户组对菜单的访问权限
ir.model.access.csv定义用户组对对象的权限矩阵
菜单/对象级别
用户组
首先创建一个组分类(表示很多组属于一个分类):
module_category_accounting_and_finance
57
再创建一个用户组:
Billing
修改这个组的一些内容,如:给这组加上一个用户:
下面说一下eval语法:
(0, 0, {values}) 根据values的值新建一条记录
(1, ID, {values}) 更新id=ID的记录,(写入values的值)
(2, ID) 删除id=ID这条记录,(调用unlink方法,删除数据及整个主从数据链接关系)
(3, ID) 切断主从数据的链接关系但是不删除这个记录
(4, ID) 为id=ID的数据添加主从链接关系
(5) 删除所有的从数据的链接关系,也就是向所有的从数据调用(3, ID)
(6, 0, [IDs]}) 用IDs中的记录替换原来的记录(相当于先执行(5)在循环执行(4, ID))
用户组对model的权限控制(也就是对象的访问权限)
模块下 security 目录下的文件:ir.model.access.csv
id,name,model_id:id,group_id:id,perm_read,perm_write,perm_create,perm_unlink
access_product_product_account_user,product.product.account.user,product.model_product_product,group_account_user,1,0,0,0
access_product_product_account_manager,product.product.account.manager,product.model_product_product,group_account_manager,1,1,1,1
access_product_template_account_manager,product.template.account.manager,product.model_product_template,group_account_manager,1,1,1,1
access_product_price_history_account_manager,prices.history.account.manager,product.model_product_price_history,group_account_manager,1,1,1,1
access_account_payment_term,account.payment.term,model_account_payment_term,account.group_account_`user,1,0,0,0
id:可以随便取,但是在一个模块中是唯一的,一般取名为 access_模型名特定用户组名(用下划线连起来)
name: 可以随便取,一般命名沿用模型名用“.”连接加 用户组名
model:id: 要做权限控制的model,格式写法是 模块名.model模块名(中间的‘.’换成‘_’),如果model在此模块中,可以省略模块名,如product.model_product_product
group:id:组的id,不是本模块的组,要在前面加上模块名,如:account.group_account_user
perm_read,perm_write,perm_create,perm_unlink:这些就是具体的权限:读写增删,1 有权限,0 无权限
菜单的权限控制
第一种写法(所有的记录,都可以用这种方法添加及修改,如果id是一样的话就是修改这条记录,如果没有这个id就是添加该记录)
Invoicing
account,static/description/icon.png
40
第二种写法(简洁写法)
上面的2个xml表示menu_finance这个菜单只能被group_account_user,group_account_manager,group_account_invoice 三个用户组访问
如果有上级菜单,加parent属性,如果上级菜单不在本模块中,需要加模块名如:account.menu_finance:
记录级别的权限控制
记录的权限放在"ir.rule"model中,所有我们添加或修改ir_rule表中的记录,就可以控制记录的权限
Account Entry
['|',('company_id','=',False),('company_id','child_of',[user.company_id.id])]
字段级别的权限控制
给字段上添加用户组,表示只有这些组的用户在这个视图中才能访问和操作这个字段,如:
account.invoice.line.tree
account.invoice.line
上面xml表示在这个tree视图(这里注意,这个权限只针对这个tree视图)上,account_id,uom_id,discount这3个字段只有对应的用户组中的用户才能看到。
如果你想在这个model的所有视图中都有这个权限控制的话,要在这个字段定义的时候,就要指定groups,多个用户组用","分隔,如:
gengo_private_key = fields.Text(string="Gengo Private Key", copy=False, groups="base.group_system,base.group_user")
在项目中的应用
1.不同权限组看到的数据不同
合并报表用户权限
#模块名.model_model名
#模块名.权限组名
[('code','=','CSJ0001')]
#过滤数据
2.不同权限组单个字段只读
res.partner.form.inherit
res.partner
1