1 RABC权限管理
1.1 表关系分析
1.2 表设计
1.2.1 用户表
账号、姓名、邮箱、添加时间、最后登录时间、账号是否禁止登录
1.2.2 角色表
商品管理员、订单管理员、超级管理员
1.2.3 资源列表
储存是路径正则
资源分类：商品模块、订单模块、营销模块、权限模块、内容模块、其他模块
1.2.4 权限表
对某一个路由的增删改查
# 源码分析
class BasePermission(metaclass=BasePermissionMetaclass):
"""
A base class from which all permission classes should inherit.
"""
def has_permission(self, request, view):
# has_permission 是用户对这个视图有没有 GET POST PUT PATCH DELETE 权限的分别判断
"""
Return `True` if permission is granted, `False` otherwise.
"""
return True
def has_object_permission(self, request, view, obj):
# 判断当前用户是否有访问某个接口的接口权限
"""
Return `True` if permission is granted, `False` otherwise.
"""
return True
1.3 具体分析
1.3.1 如果只允许post方法访问
- utils/Authentication.py
class MyPermission(BasePermission):
# 继承的一定要是rest_framework里面的BasePermission，类的名字随意
# has_permission 是用户对这个视图有没有 GET POST PUT PATCH DELETE 权限的分别判断
def has_permission(self, request, view):
# 可以用request.user来获取用户名
# 可以用request.method来查询访问的方式
# 可以用request.path_info来查询访问的路由
# 可以用 print(dir(request))来查看方法
# 任何用户对使用此权限类的视图都有访问权限
if request.method == 'post':
print(request.method)
if request.user.is_superuser:
return True
elif view.kwags.get('pk') == str(request.user.id):
return True
return False
# 访问的是get方法，所以直接走了False，不会执行下面的has_object_permission方法了！！！
# has_object_permission 是用户过了 has_permission 判断有权限以后，再判断这个用户有 没有对一个具体的对象有没有操作权限
# 这样设置以后，即使是django admin管理员也只能查询自己user标的信息，不能查询其他用户的 单条信息
def has_object_permission(self, request, view,obj):
# 判断当前用户是否有访问 /course/sections/1/ 接口权限
course_detail_url = re.match('/course/sections/(d+)/$', request.path_info)
if course_detail_url:
user = request.user
course = obj.chapters.course
has_video_rights = self.video_rights(user,course)
return has_video_rights
return True
# 对用户是否有课程播放权限进行验证
@staticmethod
def video_rights(user,course):
'''
:param user: 当前登录用户
:param course: 用户要播放的课程对象
:return: 返回True有权限，否则出发异常
'''
# 1.免费课程直接返回True
# 2.会员免费课程，判断当前用户是否是会员，如果是会员返回True
# 3.付费课程，判断当前用户在UserCourse表中有购买记录返回True
try:
is_buy = UserCourse.objects.get(course=course, user=user)
return True
except Exception as e:
raise exceptions.ParseError('没卖课程播放个毛线！头给你打扁！')
- views.py
from Authentication import MyPermission
from rest_framework import viewsets
class SectionsViewSet(viewsets.ModelViewSet):
queryset = Sections.objects.all()
serializer_class = SectionsSerializer
permission_classes = (MyPermission, )
- postman效果
http://192.168.56.100:8888/course/sections/3/?id=3
1.3.2 允许get访问
- utils/Authentication.py
- 第一个方法has_permission()整体跑通
# -*- coding: utf-8 -*-
import re
from rest_framework.permissions import BasePermission
from rest_framework import exceptions
from course.models import UserCourse
class MyPermission(BasePermission):
# 继承的一定要是rest_framework里面的BasePermission，类的名字随意
# has_permission 是用户对这个视图有没有 GET POST PUT PATCH DELETE 权限的分别判断
def has_permission(self, request, view):
print(dir(request))
print(request.method)
print(request.user)
# 可以用request.user来获取用户名
# 可以用request.method来查询访问的方式
# 可以用request.path_info来查询访问的路由
# 可以用 print(dir(request))来查看方法
# 任何用户对使用此权限类的视图都有访问权限
if request.method == 'GET':
if request.user.is_superuser:
return True
elif view.kwargs.get('pk') == str(request.user.id):
return True
return False
# has_object_permission 是用户过了 has_permission 判断有权限以后，再判断这个用户有 没有对一个具体的对象有没有操作权限
# 这样设置以后，即使是django admin管理员也只能查询自己user标的信息，不能查询其他用户的 单条信息
def has_object_permission(self, request, view,obj):
return True
- views.py
from Authentication import MyPermission
from rest_framework import viewsets
class SectionsViewSet(viewsets.ModelViewSet):
queryset = Sections.objects.all()
serializer_class = SectionsSerializer
permission_classes = (MyPermission, )
- postman效果
http://192.168.56.100:8888/course/sections/3/?id=3
1.3.3 没有购买订单
- models.py
# -*- coding: utf-8 -*-
import re
from rest_framework.permissions import BasePermission
from rest_framework import exceptions
from course.models import UserCourse
class MyPermission(BasePermission):
# 继承的一定要是rest_framework里面的BasePermission，类的名字随意
# has_permission 是用户对这个视图有没有 GET POST PUT PATCH DELETE 权限的分别判断
def has_permission(self, request, view):
print(dir(request))
print(request.method)
print(request.user)
# 可以用request.user来获取用户名
# 可以用request.method来查询访问的方式
# 可以用request.path_info来查询访问的路由
# 可以用 print(dir(request))来查看方法
# 任何用户对使用此权限类的视图都有访问权限
if request.method == 'GET':
if request.user.is_superuser:
return True
elif view.kwargs.get('pk') == str(request.user.id):
return True
return False
# has_object_permission 是用户过了 has_permission 判断有权限以后，再判断这个用户有 没有对一个具体的对象有没有操作权限
# 这样设置以后，即使是django admin管理员也只能查询自己user标的信息，不能查询其他用户的 单条信息
def has_object_permission(self, request, view,obj):
# 判断当前用户是否有访问 /course/sections/1/ 接口权限
course_detail_url = re.match('/course/sections/(d+)/$', request.path_info)
if course_detail_url:
user = request.user
course = obj.chapters.course
has_video_rights = self.video_rights(user,course)
return has_video_rights
return True
# 对用户是否有课程播放权限进行验证
@staticmethod
def video_rights(user,course):
'''
:param user: 当前登录用户
:param course: 用户要播放的课程对象
:return: 返回True有权限，否则出发异常
'''
# 1.免费课程直接返回True
# 2.会员免费课程，判断当前用户是否是会员，如果是会员返回True
# 3.付费课程，判断当前用户在UserCourse表中有购买记录返回True
try:
is_buy = UserCourse.objects.get(course=course, user=user)
return True
except Exception as e:
raise exceptions.ParseError('没买课程播放个毛线！头给你打扁！')
- views.py
from Authentication import MyPermission
from rest_framework import viewsets
class SectionsViewSet(viewsets.ModelViewSet):
queryset = Sections.objects.all()
serializer_class = SectionsSerializer
permission_classes = (MyPermission, )
- 第二个方法中由于数据库中没有数据，所以会走False
- 显示没有购买，没办法观看
http://192.168.56.100:8888/course/sections/3/?id=3
1.3.4 购买才能访问
- models.py
# -*- coding: utf-8 -*-
import re
from rest_framework.permissions import BasePermission
from rest_framework import exceptions
from course.models import UserCourse
class MyPermission(BasePermission):
# 继承的一定要是rest_framework里面的BasePermission，类的名字随意
# has_permission 是用户对这个视图有没有 GET POST PUT PATCH DELETE 权限的分别判断
def has_permission(self, request, view):
print(dir(request))
print(request.method)
print(request.user)
# 可以用request.user来获取用户名
# 可以用request.method来查询访问的方式
# 可以用request.path_info来查询访问的路由
# 可以用 print(dir(request))来查看方法
# 任何用户对使用此权限类的视图都有访问权限
if request.method == 'GET':
if request.user.is_superuser:
return True
elif view.kwargs.get('pk') == str(request.user.id):
return True
return False
# has_object_permission 是用户过了 has_permission 判断有权限以后，再判断这个用户有 没有对一个具体的对象有没有操作权限
# 这样设置以后，即使是django admin管理员也只能查询自己user标的信息，不能查询其他用户的 单条信息
def has_object_permission(self, request, view,obj):
# 判断当前用户是否有访问 /course/sections/1/ 接口权限
course_detail_url = re.match('/course/sections/(d+)/$', request.path_info)
if course_detail_url:
user = request.user
course = obj.chapters.course
has_video_rights = self.video_rights(user,course)
return has_video_rights
return True
# 对用户是否有课程播放权限进行验证
@staticmethod
def video_rights(user,course):
'''
:param user: 当前登录用户
:param course: 用户要播放的课程对象
:return: 返回True有权限，否则出发异常
'''
# 1.免费课程直接返回True
# 2.会员免费课程，判断当前用户是否是会员，如果是会员返回True
# 3.付费课程，判断当前用户在UserCourse表中有购买记录返回True
try:
is_buy = UserCourse.objects.get(course=course, user=user)
return True
except Exception as e:
raise exceptions.ParseError('没买课程播放个毛线！头给你打扁！')
- views.py
from Authentication import MyPermission
from rest_framework import viewsets
class SectionsViewSet(viewsets.ModelViewSet):
queryset = Sections.objects.all()
serializer_class = SectionsSerializer
permission_classes = (MyPermission, )
- 数据库中有数据
- postman演示
1.4 踩坑点
# 常用问题：
一定要注意，在用postman调试过程中，访问视图的时候，headers中加入token，格式是：
Authorization：JWT token（中间有空格）
不然会获取不到用户哦~