Django DRF創建相關對象的權限

Question

我努力在Django REST框架上的對象創建上實施安全性。

基本上，我可以使用'has_object_permission'在對象級別實施安全性：登錄的用戶必須是該對象的所有者才能對其進行操作。 實際上，正如文檔中所述，我縮小了查詢集中的對象檢索范圍，因此得到了404而不是403。我認為這不是問題（甚至更好，因為它隱藏了對象的存在）

但是我不能成功地不允許另一個用戶創建相關對象。

我使用ModelSerializer和ModelViewSet。

這是一些天真的片段：

models.py：

class Daddy(models.Model):
    id = models.UUIDField(primary_key=True, default=uuid.uuid4, editable=False)
    name = models.CharField(max_length=20)
    owner = models.ForeignKey(settings.AUTH_USER_MODEL, on_delete=models.CASCADE)

class Kiddy(models.Model):
    title = models.CharField(max_length=12)
    daddy = models.foreignKey(Daddy, on_delete=models.CASCADE)

serializers.py：

class KiddySerializer(serializers.ModelSerializer):
    class Meta:
        model = Kiddy
        fields = '__all__'

viewsets.py：

class KiddyViewSet(viewsets.ModelViewSet):
    serializer_class = KiddySerializer
    queryset = User.objects.none()

    permission_classes = (IsAuthenticated, IsOwner, )

    def get_queryset(self):
        dad_uuid = self.kwargs['dad']
        return Kiddy.objects.filter(daddy__pk=dad_uuid).filter(daddy__owner=self.request.user)

router.py：

router = routers.DefaultRouter()
router.register(r'dad', KiddyViewSet, base_name='kid')

urls.py：

path('api/<uuid:cv>/', include(router.urls))

使用這些網址訪問對象： http：//..../api/4ecddcdd-1c0a-4d0b-8254-b0c0d2607e6d/-- >列出所有孩子

http：//..../api/4ecddcdd-1c0a-4d0b-8254-b0c0d2607e6d/1 --->對象小子

實際上，由於使用uuid，我得到了一些安全保障，這很難猜到...

Permissions.py：

class IsOwner(permissions.BasePermission):
"""
Object-level permission to only allow owners of an object to edit it.
Assumes the model instance has an `owner` attribute.
"""

def has_object_permission(self, request, view, obj):
    if request.user != obj.daddy.owner:
        return False
    else:
        return True

如果使用錯誤的所有者登錄，則可以創建相關的Kiddy對象！

我想，我必須以“ has_permission”類型實現此權限。 但是我不知道如何訪問那里的對象，因為參數是請求和查看...

在這里，他找到了解決方案。 但這根本不是通用的，因為我將需要對每個相關對象的自定義權限...我得到了很多！ 在Django REST Framework中檢查相關對象的權限

任何想法？

Answer 1

好的，我解決了這個問題:-)

正如我懷疑的那樣，在Permissions.py中，我添加了以下“ has_permission”：

class IsOwnerParent(permissions.BasePermission):
    def has_permission(self, request, view):
        daddy = Daddy.objects.get(pk=view.kwargs['dad'])
        return daddy.owner == request.user

並將其添加到我的ModelViewSet類中：

class KiddyViewSet(viewsets.ModelViewSet):
    serializer_class = KiddySerializer
    queryset = User.objects.none()

    permission_classes = (IsAuthenticated, IsOwner, IsOwnerParent)

    def get_queryset(self):
        dad_uuid = self.kwargs['dad']
        return Kiddy.objects.filter(daddy__pk=dad_uuid).filter(daddy__owner=self.request.user)

因此，實際上，此處提供的解決方案在Django REST Framework中檢查相關對象的權限確實有效。 實際上，它非常通用，因為我的許多對象都與“爸爸”對象有關。

實際上，現在檢索對象列表的行為看起來更“正常”：我收到403錯誤而不是404錯誤。

我認為這種用例非常普遍：用戶只能創建與其擁有的對象相關的對象，並且也只能更新和刪除其擁有的對象。

但是也許可以做一個更好的方法？