如何使“has_object_permission()”工作？

Question

我正在尝试为用户创建 object 级别的权限。 我的ddbb model的结构如下：

• 一位教师拥有一间教室 (id_teacher ForeignKey)
• 一个教室拥有一些学生（id_classroom ForeignKey）

我想让拥有学生注册教室的老师访问学生信息。

下面是API代码和权限代码：

class StudentAPI(RetrieveUpdateAPIView):
    permission_classes = [GetStudentPermission, ]

    def get(self, request):
        student_ = Student.objects.get(username=request.GET['username'])
        s_student_ = StudentSerializer(student_)
        return Response(s_student_.data)

class GetStudentPermission(BasePermission):
    message = 'La información de este estudiante está restringida para usted'

    def has_object_permission(self, request, view, obj):
        cls_ = Classroom.objects.filter(id=obj.id_classroom.id).first()
        tch_ = Teacher.objects.get(classroom=cls_)
        user_ = User.objects.get(id=tch_.id_user.id)
        return bool(user_ == request.user)

似乎权限课程根本不起作用，因为我可以访问使用任何用户帐户注册的每个学生的信息。 事先谢谢你

Answer 1

根据自定义权限 [DRF docs]部分中的注释：

只有当视图级has_permission检查已经通过时，才会调用实例级has_object_permission方法。 另请注意，为了运行实例级检查，视图代码应显式调用.check_object_permissions(request, obj) 。 如果您使用的是通用视图，则默认情况下会为您处理。 （基于函数的视图需要明确检查 object 权限，失败时会引发PermissionDenied 。）

由于您覆盖get并自己实现它check_object_permissions永远不会被调用，您可以自己做：

class StudentAPI(RetrieveUpdateAPIView):
    permission_classes = [GetStudentPermission, ]

    def get(self, request):
        student_ = Student.objects.get(username=request.GET['username'])
        self.check_object_permissions(self.request, student)
        s_student_ = StudentSerializer(student_)
        return Response(s_student_.data)

或者更好的是，您的 get 实现与RetrieveUpdateAPIView已经拥有的内置实现没有太大区别，因此您可以放弃覆盖get并直接实际使用视图：

class StudentAPI(RetrieveUpdateAPIView):
    queryset = Student.objects.all()
    serializer_class = StudentSerializer
    lookup_field = 'username'
    permission_classes = [GetStudentPermission, ]