Django - 自定义 Object 权限视图

Question

我正在尝试授予店主查看权限。 所以我制作了一个文件，在其中创建了不同的权限。 在我的许可下，我首先检查用户是否使用 has_permission function 登录。 我现在正在尝试确定用户是否真的拥有具有 has_object_permission function 的商店。 不幸的是，我觉得我的 function 没有正确执行。 无论我是否允许，我都可以随时向任何帐户、店主提出请求。

以下是我使用的模型：

模型.py

class Shop(models.Model):
    name = models.CharField(max_length=255)
    category = models.ForeignKey(ShopCategory, on_delete=models.SET_NULL, null=True, blank=True)
    description = models.TextField(blank=True, null=True)
    path = models.CharField(max_length=255, unique=True, null=True, blank=True) # Set a null and blank = True for serializer
    mustBeLogged = models.BooleanField(default=False)
    deliveries = models.FloatField(default=7)

    def __str__(self):
        return self.name

class UserShop(models.Model):
    user = models.ForeignKey(settings.AUTH_USER_MODEL, on_delete=models.CASCADE)
    shop = models.ForeignKey(Shop, on_delete=models.CASCADE)

    def __str__(self):
        return f"{self.user.name} {self.user.surname} - {self.shop.name}"

这是我的权限：

实用程序.py

class IsOwner(BasePermission):
    """
    Check if the user who made the request is owner.
    Use like that : permission_classes = [IsOwner]
    """
    def has_permission(self, request, view):
        return request.user and request.user.is_authenticated
    def has_object_permission(self, request, view, obj):
        try:
            user_shop = UserShop.objects.get(user=request.user, shop=obj)
            return True
        except:
            return False

class OwnerView(APIView):
    """
    Check if a user is owner
    """
    permission_classes = (IsOwner,)

这是我的看法：

视图.py

class ShopDetail(OwnerView):
    """Edit ou delete a shop"""
    def put(self, request, path):
        """For admin or shop owner to edit a shop"""
        shop = get_object_or_404(Shop, path=path)
        serializer = ShopSerializer(shop, data=request.data)
        if serializer.is_valid():
            serializer.save()
            return Response(serializer.data)
        return Response(serializer.errors)

这是我的序列化程序：

序列化程序.py

class ShopSerializer(serializers.ModelSerializer):    
    class Meta:
        model = Shop
        fields = '__all__'

预先感谢您的帮助

Answer 1

如自定义权限文档中所述：

注意：实例级别的has_object_permission方法只有在视图级别的has_permission检查已经通过时才会被调用。 另请注意，为了运行实例级检查，视图代码应显式调用.check_object_permissions(request, obj) 。 如果您使用的是通用视图，则默认情况下会为您处理。 （基于函数的视图需要明确检查 object 权限，失败时会引发PermissionDenied 。）

您自己实现了put方法并自己获取 object 而不是使用get_object方法（它自己调用check_object_permissions ），因此永远不会调用check_object_permissions 。 相反，您应该在视图 class 中将lookup_field设置为path并使用get_object ：

class ShopDetail(OwnerView):
    """Edit ou delete a shop"""
    queryset = Shop.objects.all() lookup_field = 'path'
    
    def put(self, request, path):
        """For admin or shop owner to edit a shop"""
        shop = self.get_object()
        serializer = ShopSerializer(shop, data=request.data)
        if serializer.is_valid():
            serializer.save()
            return Response(serializer.data)
        return Response(serializer.errors)

同样要做到这一点OwnerView应该继承自GenericAPIView ：

from rest_framework.generics import GenericAPIView


class OwnerView(GenericAPIView):
    """
    Check if a user is owner
    """
    permission_classes = (IsOwner,)