DRF Viewset删除详细路径的权限

Question

我有一个基本的Viewset：

class UsersViewSet(viewsets.ModelViewSet):
    permission_classes = (OnlyStaff,)
    queryset = User.objects.all()
    serializer_class = UserSerializer

它绑定到/api/users/ endpoint。 我想创建一个用户个人资料页面，所以我只需要一个特定的用户，所以我可以从/api/users/<id>/检索它，但问题是我想要/api/users/<id>/来允许任何人，但/api/users/保持其权限OnlyStaff ，所以没有人可以访问完整的用户列表。

注意：也许这不是一个好的实现，因为任何人都可以强制数据增加id ，但我愿意将它从<id>更改为<slug> 。

如何从详细路线中删除权限？

提前致谢。

Answer 1

覆盖get_permissions()方法，如下所示

from rest_framework.permissions import AllowAny


class UsersViewSet(viewsets.ModelViewSet):
    permission_classes = (OnlyStaff,)
    queryset = User.objects.all()
    serializer_class = UserSerializer

    def get_permissions(self): if self.action == 'retrieve': return [AllowAny(), ] return super(UsersViewSet, self).get_permissions()

Answer 2

如果您发布了权限类，这将有所帮助。

但是，关闭您发布的内容，似乎只有员工用户才能访问绑定到该视图集的端点。 意味着没有其他用户类型/角色可以访问这些端点。

离开你的问题，似乎你想要设置一个IsOwnerOrStaffOrReadOnly权限并重载ModelViewSet的列表路由功能并替换permission_classes然后调用super

class UsersViewSet(viewsets.ModelViewSet):
    permission_classes = (IsOwnerOrStaffOrReadOnly,)
    queryset = User.objects.all()
    serializer_class = UserSerializer

def list(self, request, *arg, **kwargs):
   self.permission_classes = (OnlyStaffCanReadList,)
   super(UsersViewSet, self).list(request, *args, **kwargs)  // python3 super().list(request, *args, **kwargs)

是所有者对象权限类

class IsOwnerOrStaffOrReadOnly(permissions.BasePermission):

    def has_object_permission(self, request, view, obj):
        # Read permissions are allowed to any request,
        # so we'll always allow GET, HEAD or OPTIONS requests.
        if request.method in permissions.SAFE_METHODS:
            return True

        if request.user.role == 'staff': 
           return True
        # Instance must have an attribute named `owner`.
        return obj.owner == request.user

只有员工才能阅读许可等级

class OnlyStaffCanReadList(permissions.BasePermission):

    def has_object_permission(self, request, view, obj):
        if request.user.role == 'Staff': 
           return True
        else:
           return False

如评论中所述，您的用户模型必须具有所有者角色。 如果您使用的是django用户模型，则可以执行obj.id == request.user.id比较