在 Web 应用程序开发中，权限控制是一项重要任务。Django REST framework（以下简称 DRF）提供了一种方便的方式来实现基于视图的权限控制。在本文中，我们将深入探讨 DRF 中基于视图的权限控制机制，以及如何使用和定制它。
基本概念
在 DRF 中，一个视图（view）是一个处理特定 URL 请求的 Python 函数或类。视图的职责是从请求中提取信息，并生成 HTTP 响应。视图可以使用 DRF 提供的各种类和函数来实现各种操作，例如验证输入数据，渲染模板，调用模型方法等等。
权限（permission）是控制用户是否可以访问特定视图的工具。DRF 中有两种类型的权限：
- 特定视图的默认权限：可以在视图中通过
permission_classes属性指定。默认情况下，它是一个空的列表，表示任何用户都可以访问视图。 - 全局权限：可以在 DRF 的配置中指定。如果使用了全局权限，则在所有标记了
permission_classes属性的视图中应用它们。
DRF 中提供了多种类型的权限，包括身份认证、限制 HTTP 方法、访问对象级别的权限等等。这些权限已经在 DRF 的内置权限模块中实现，我们可以直接使用它们或者根据需要创建自己的权限类。
基于视图的权限控制
在 DRF 中，基于视图的权限控制可以通过 permission_classes 属性实现。permission_classes 属性是一个列表，列表中的每个权限类定义了一个权限规则，满足其中任何一个规则即可访问该视图。
例如，我们可以创建一个只允许已验证用户访问的视图：
-- -------------------- ---- -------
---- ----------------------------- ------ ---------------------- -------------------
---- -------------------------- ------ ---------------
---- -------------------- ------ -------
---- ----------------------- ------ --------
----- ----------------
---------------------- - ----------------------- --------------------
------------------ - -----------------
--- --------- -------- -------------
------- - -
--------- -------- --- ----------
-
------ -----------------在这个例子中，我们使用 IsAuthenticated 权限类，它要求用户已经通过身份验证。我们还使用了 SessionAuthentication 和 BasicAuthentication 进行身份验证，这两个身份验证类都是 DRF 的内置类。
使用 permission_classes 列表可以指定多个权限规则，它们会按照在列表中出现的顺序依次检查，如果有任何一个规则被满足，就允许访问该视图。
例如，这个例子限制了只允许 POST 请求，并且只允许具有管理员权限的用户访问：
-- -------------------- ---- -------
---- -------------------------- ------ ------------ ---------------
---- -------------------- ------ -------
---- ----------------------- ------ --------
----- ----------------
------------------ - ----------------- ------------
--- ---------- -------- -------------
------- - -
--------- -------- --- ----------
-
------ -----------------在这个例子中，IsAuthenticated 规则要求用户已经通过身份验证，IsAdminUser 规则要求用户有管理员权限。
定制权限类
如果内置的权限类无法满足我们的需求，可以通过创建自定义权限类来进行拓展。自定义权限类需要实现 BasePermission 抽象基类中的 has_permission 和 has_object_permission 方法。has_permission 方法用于检查用户是否有权限访问该视图，has_object_permission 方法用于检查用户是否可以访问特定对象。
例如，我们创建一个新的权限类，允许只有请求用户名为 admin 的用户才能访问视图：
from rest_framework.permissions import BasePermission
class IsAdminUserByName(BasePermission):
message = 'You must be an admin user with the name "admin" to access this view.'
def has_permission(self, request, view):
return request.user.is_authenticated and request.user.username == 'admin'在这个例子中，我们继承了 BasePermission 类，并重写了 has_permission 方法。该方法返回 True 表示用户有足够的权限访问该视图，返回 False 表示用户无法访问该视图。我们还定义了 message 属性，用于在访问被拒绝时提供错误提示信息。
我们现在可以在视图中使用新的权限类：
class MyView(APIView):
permission_classes = [IsAdminUserByName]
def get(self, request, format=None):
content = {
'status': 'request was permitted'
}
return Response(content)在这个例子中，我们使用 IsAdminUserByName 权限类，它要求用户名必须为 admin。
自定义权限类可以提供更细粒度的权限控制，例如限制对数据库对象的访问。因此，自定义权限类是 DRF 中一个非常强大的特性。
总结
在本文中，我们深入探讨了 DRF 中基于视图的权限控制机制，以及如何使用和定制它。DRF 提供了多种类型的权限，可以满足大多数 Web 应用程序的安全需求。通过在视图中使用 permission_classes 属性，我们可以轻松地定义和组合这些权限类来保护我们的资源。此外，自定义权限类为我们提供了更细粒度的权限控制能力。我们可以针对不同的应用场景创建不同的自定义权限类，从而保护我们的数据和用户隐私。
来源：JavaScript中文网 ，转载请注明来源 https://www.javascriptcn.com/post/64ad544c48841e989497c824