DjangoREST框架详解07|三大认证与权限六表

一、三大认证

1. 认证组件&＃xff1a;校验用户

• 游客&＃xff1a;无认证信息&＃xff0c;校验通过&＃xff0c;直接进入下一步权限认证校验
• 合法用户&＃xff1a;带正确认证信息&＃xff0c;校验通过&＃xff0c;将用户存储在 request.user 中&＃xff0c;再下一步权限认证校验
• 非法用户&＃xff1a;带错误认证信息&＃xff0c;校验失败&＃xff0c;抛出异常&＃xff0c;返回 403 权限异常结果

详细&＃xff1a;Django REST 框架详解 08 | 认证组件

2. 权限组件&＃xff1a;校验用户权限

• 必须登录
• 所有用户
• 登录读写&＃xff0c;游客只读
• 自定义用户角色

认证通过&＃xff1a;可以进入下一步校验&＃xff08;频率认证&＃xff09;

认证失败&＃xff1a;抛出异常&＃xff0c;返回 403

详细&＃xff1a;Django REST 框架详解 09 | 权限组件

3. 频率组件&＃xff1a;限制视图接口被访问次数

• 限制的条件&＃xff1a;IP&＃xff0c;userid&＃xff0c;唯一键&＃xff08;如手机号&＃xff09;
• 频率周期时间&＃xff1a;s,m,h,d
• 频率的次数&＃xff1a;3/h

没有达到限次&＃xff1a;正常访问

达到限次&＃xff1a;限制时间内不能访问&＃xff0c;返回500&＃xff0c;限制时间达到后&＃xff0c;可以重新访问

详细&＃xff1a;Django REST 框架详解 10 | 频率认证组件

4. 分析源码

class APIView(View):# ...def initial(self, request, *args, **kwargs):"""Runs anything that needs to occur prior to calling the method handler."""self.format_kwarg &＃61; self.get_format_suffix(**kwargs)# Perform content negotiation and store the accepted info on the requestneg &＃61; self.perform_content_negotiation(request)request.accepted_renderer, request.accepted_media_type &＃61; neg# Determine the API version, if versioning is in use.version, scheme &＃61; self.determine_version(request, *args, **kwargs)request.version, request.versioning_scheme &＃61; version, scheme# Ensure that the incoming request is permitted# 认证组件&＃xff1a;校验用户self.perform_authentication(request)# 权限组件&＃xff1a;校验用户权限self.check_permissions(request)# 频率组件&＃xff1a;限制视图接口被访问次数self.check_throttles(request)


二、权限六表

基于用户角色权限访问的控制 &＃xff08;RBAC&＃xff0c;Role Based Access Control&＃xff09;&＃xff1a;Django 框架使用

基于 auth 认证&＃xff1a;ThinkPHP 使用

1. RBAC 认证

RBAC 认证规则通常会分为 三表规则&＃xff0c;五表规则&＃xff0c;Django 采用六表规则

2. 权限三表

用户表&＃xff0c;角色表&＃xff0c;权限表

User

Group

Permission

3. 权限五表

会发现权限三表中&＃xff0c;User 表与 Group 表多对多关系&＃xff0c; Group 表与 Permission 表是多对多关系。所以&＃xff0c;需要新建这两张的关系表&＃xff0c;这就是权限五表。

用户表&＃xff0c;角色表&＃xff0c;权限表&＃xff0c;用户角色关系表&＃xff0c;角色权限关系表

U-G关系表

G-P关系表

User

Group

Permission

4. 权限六表

有的用户可能会执行角色分组以外的权限&＃xff0c;所以除了五表外&＃xff0c;多了用户表与权限表的关系表。

用户表&＃xff0c;角色表&＃xff0c;权限表&＃xff0c;用户角色关系表&＃xff0c;角色权限关系表&＃xff0c;用户权限关系表。

U-P关系表

三、六表间访问

1. 分析源码

auth/models.py

class PermissionsMixin(models.Model):"""Add the fields and methods necessary to support the Group and Permissionmodels using the ModelBackend."""is_superuser &＃61; models.BooleanField(_(&＃39;superuser status&＃39;),default&＃61;False,help_text&＃61;_(&＃39;Designates that this user has all permissions without &＃39;&＃39;explicitly assigning them.&＃39;),)# 用户-角色关系表groups &＃61; models.ManyToManyField(Group,verbose_name&＃61;_(&＃39;groups&＃39;),blank&＃61;True,help_text&＃61;_(&＃39;The groups this user belongs to. A user will get all permissions &＃39;&＃39;granted to each of their groups.&＃39;),related_name&＃61;"user_set",related_query_name&＃61;"user",)# 用户-权限关系表user_permissions &＃61; models.ManyToManyField(Permission,verbose_name&＃61;_(&＃39;user permissions&＃39;),blank&＃61;True,help_text&＃61;_(&＃39;Specific permissions for this user.&＃39;),related_name&＃61;"user_set",related_query_name&＃61;"user",)


auth/models.py

class Group(models.Model):# 角色-权限关系表name &＃61; models.CharField(_(&＃39;name&＃39;), max_length&＃61;150, unique&＃61;True)permissions &＃61; models.ManyToManyField(Permission,verbose_name&＃61;_(&＃39;permissions&＃39;),blank&＃61;True,)


2. 六表间访问方法

用户表&＃xff1a;访问角色 groups&＃xff0c; 访问权限 user_permissions
角色表&＃xff1a;访问用户 user_set&＃xff0c; 访问权限 permissions
权限表&＃xff1a;访问用户 user_set&＃xff0c; 访问角色 group_set

3. 代码实现

自定义用户表 models.py

class User(AbstractUser):mobile &＃61; models.CharField(max_length&＃61;11, unique&＃61;True)class Meta:db_table &＃61; &＃39;api_user&＃39;,verbose_name &＃61; &＃39;用户表&＃39;,verbose_name_plural &＃61; verbose_namedef __str__(self):return self.username


数据库迁移

python manage.py makemigrations
python manage.py migrrate


迁移报错解决

如果自定义 User 表后&＃xff0c;在另一个项目中采用原生 User 表&＃xff0c;完成数据库迁移时&＃xff0c;可能会失败
解决&＃xff1a;

1. 卸载 Django 重新装
2. 清空数据库迁移记录文件
   django.contrib.admin.migraions 清空除了 init.py 以外的文件
   django.contrib.auth.migraions 清空除了 init.py 以外的文件

创建成功后数据库表如下&＃xff1a;

4. 脚本化启动查看表

# django 脚本化启动
import os, djangoos.environ.setdefault(&＃39;DJANGO_SETTINGS_MODULE&＃39;, &＃39;drf_proj02.settings&＃39;)
django.setup()from api import models
user &＃61; models.User.objects.first()
# 用户
print(user.username)
# 用户-角色
print(user.groups.first())
# 用户-权限
print(user.user_permissions.first().name)print("-"*20)
from django.contrib.auth.models import Group
group &＃61; Group.objects.first()
# 权限名
print(group.name)
# 权限-用户
print(group.user_set.first().username)
# 权限-分组
print(group.permissions.first().name)print("-"*20)
from django.contrib.auth.models import Permission
p_1 &＃61; Permission.objects.filter(pk&＃61;1).first()
# 权限-用户
print(p_1.user_set.first().username)
p_2 &＃61; Permission.objects.filter(pk&＃61;2).first()
# 权限-角色
print(p_2.group_set.first().name)