将OAuth2令牌限制为Django中的特定模型/视图

Question

我正在使用Django Rest Framework在Django中开发我的第一个平凡的API接口。 我正在尝试创建一个网络服务，为我的游戏托管高分表。 然后，游戏将通过API通过http请求发布并检索其高分。

目前，我的模型结构如下所示：

• 游戏
  • 高分表
    • 高分入场

现在，由于该服务将处理多个不同游戏的分数，因此我想为每个游戏提供一个单独的oauth2令牌，并限制该游戏的api权限。 我设法通过以下指南设置了oauth2身份验证： http : //www.django-rest-framework.org/api-guide/authentication

但是，目前看来，它可以访问整个API。 接下来，我检查了http://www.django-rest-framework.org/api-guide/permissions ，其中提到将权限限制为子集功能需要一个自定义权限类。

基于此信息，我尝试了有关如何使用oauth2进行搜索的示例。 在同一页面中，有一个自定义类的示例。 但是，我不知道如何将其应用于oauth2。 我可以以某种方式为我的Game模型设置一个特定的access_token，以便在请求到来时可以将请求者的令牌与Game自己的令牌进行比较吗？ 如果可以，怎么办？

TL;博士; 如何为具有唯一oauth2令牌的模型创建自定义权限类？ 这样每个令牌都可以为其相应的模型授予权限。

Answer 1

为了控制访问令牌的权限，您应该使用范围。 访问令牌范围的思想是根据访问令牌范围为已定义的一组操作，资源（取决于您自己）授予权限。 对于您的情况，应该为不同的游戏提供不同的范围。 请注意，范围本身并不限制用户使用某些终结点，服务等。如何应用范围限制取决于OAuth20提供程序。