DRF 权限最佳实践 DRY

Question

目前根据用户类型在 DRF 中查看权限的最佳方法是什么？ 在我的结构中，有几个user_types ，例如TEAM_LEADER无法创建team object 但可以看到teams列表。 这意味着对于相同的 class 视图，例如我想对 POST 和 GET 使用不同的权限。 我希望尽可能做到这一点，并且我正在尝试遵循瘦视图胖模型设计原则（也想知道这是否是 2021 年遵循的好习惯）。

用户 model 的models.py

class User(AbstractBaseUser):
    ...fields here

    objects = UserManager()

    USERNAME_FIELD = "email"

    def __str__(self):
        return self.email

    def has_perm(self, perm, obj=None):
        if perm.Meta.verbose_name=="worksite" and perm.request.method =="POST":
            if self.user_type <= self.DEPARTMENT_MANAGER:
                return True
            else:
                return False
        return True

视图.py

class DashboardPermissions(BasePermission):
    message="You dont have permission for this action"

    def has_permission(self, request, view):
        return request.user.has_perm(view.Meta.verbose_name)

class ViewName(CreateAPIView):
    permission_classes = (IsAuthenticated,DashboardPermissions)
    authentication_classes = ()
    serializer_class = WorksiteSerializer
    queryset = Worksite.objects.all()
    class Meta:
        verbose_name="view_name"

    def get(self, request, *args, **kwargs):
        return self.list(request, *args, **kwargs)

    def post(self, request, *args, **kwargs):
        return self.create(request, *args, **kwargs)

额外的问题是我的解决方案会产生任何性能问题吗？

Answer 1

创建您的自定义Permission class 是一种很好的做法。 所以那部分对我来说看起来不错。 我们可以辩论逻辑应该在权限还是用户中（就像你做的那样），但这没什么大不了的。

如果您想对视图中的不同端点拥有不同的权限，只需覆盖get_permissions方法。

# Inherited method from APIView
    def get_permissions(self):
        """
        Instantiates and returns the list of permissions that this view requires.
        """
        return [permission() for permission in self.permission_classes]

如您所见，对于所有服务，它将从self.permission_classes获取权限。

要在 GET/CREATE 之间使用不同的权限，您可以创建endpoint: [...permissions]的dict ：[...permissions] 并覆盖get_permissions以获取与当前操作匹配的权限

permissions = {
    "create": [P1, P2,],
    "get": [P1,]
}

def get_permissions(self):
    action = self.it_is_somewhere_in_there
    return [permission() for permissions in self.permissions[action]]

Answer 2

@JordanKowal 的回答是正确的，但正如评论中提到的，

那么我会重复权限字典很多吗？ 为了对视图正确的每个 class 执行此操作

为此，您可以创建一个混合 class 。 它本质上允许您做的是将一些要在多个视图中复制的代码/功能移动到独立的 class 并根据您的方便从它继承。

为了扩展乔丹的答案，这是混合 class 的样子：

class DefaultPermissionsMixin(object):
    permissions = {
        "create": [IsAuthenticated, DashboardPermissions],
        "get": [DashboardPermissions]
    }
    
    def get_permissions(self):
        # default `get_permissions` method
        # reads `self.permission_classes`
        perms = super().get_permissions()
        if self.action in self.permissions.keys():
            return perms + [p() for p in self.permissions[self.action]]
        else:
            return perms
        
        
class View1(CreateAPIView, DefaultPermissionsMixin):
    # ...snip...

class View2(CreateAPIView, DefaultPermissionsMixin):
    # i can overwrite here per my convenience
    permissions = {
        "create": [DashboardPermissions],
        "delete": [],
    }
    # i can also define permissions the default way
    # that will be enabled on all actions
    permission_classes = [IsAuthenticated]
    # ...snip...