通过相关对象权限的 Django 权限

Question

我对 Django 比较陌生，我正在寻找有关如何以某种方式设置权限的一些指导。 基本上，我有一个应用程序，它由几个与此类似的模型组成：

class Project(models.Model):
    name = models.CharField(max_length=100)
    users = models.ManyToManyField(CustomUser, related_name="projects")

class Task(models.Model):
    name = models.CharField(max_length=100)
    project = models.ForeignKey(Project, on_delete=models.CASCADE, related_name="tasks")

class Asset(models.Model):
    name = models.CharField(max_length=100)
    project = models.ForeignKey(Project, on_delete=models.CASCADE, related_name="assets")

我的想法是，如果用户被“分配”到一个项目（通过 M2M 字段），该用户将有权访问与该项目相关的所有资产和任务。 我已经查看了django-guardian的每个对象权限，我认为这可能是要走的路，但对我来说，我似乎必须在每个模型上设置这些权限..？

感觉这应该是为任何基于项目的应用程序设置权限的一种非常常见的方式，但我很难找到类似的例子，并开始怀疑我是否过度思考或看错了方向？

谢谢你，乔纳斯

Answer 1

您可以使用django-rules在没有数据库的情况下利用对象级权限； 使用它，您可以在多个级别添加权限 - 模型、视图、模板、管理员或 DRF。

因此，您需要创建一个谓词，例如

@rules.predicate
def is_project_manager(user, project):
     return project.users == user

如果项目的经理是给定的用户，它将返回 True，否则返回 False。

然后，要将其添加到模型中，您可以执行以下操作

import rules
from rules.contrib.models import RulesModel

class Project(RulesModel):
    class Meta:
        rules_permissions = {
            "add": rules.is_project_manager,
            "read": rules.is_authenticated,
        }

还有其他一些注意事项需要考虑，但我认为这概述了它是如何工作的。