本文涉及的技術(shù)捣郊，已應(yīng)用于我基于django 1.8+ 開發(fā)的博客系統(tǒng)——MayBlog痕囱，歡迎交流聂喇。
1. Django權(quán)限機制概述
權(quán)限機制能夠約束用戶行為寻定，控制頁面的顯示內(nèi)容儒洛，也能使API更加安全和靈活；用好權(quán)限機制狼速，能讓系統(tǒng)更加強大和健壯琅锻。因此，基于Django的開發(fā)向胡，理清Django權(quán)限機制是非常必要的恼蓬。
1.1 Django的權(quán)限控制
Django用user, group和permission完成了權(quán)限機制，這個權(quán)限機制是將屬于model的某個permission賦予user或group僵芹，可以理解為全局的權(quán)限处硬，即如果用戶A對數(shù)據(jù)模型（model）B有可寫權(quán)限，那么A能修改model B的所有實例（objects）拇派。group的權(quán)限也是如此荷辕，如果為group C 賦予model B的可寫權(quán)限凿跳，則隸屬于group C 的所有用戶，都可以修改model B的所有實例疮方。
這種權(quán)限機制只能解決一些簡單的應(yīng)用需求拄显，而大部分應(yīng)用場景下，需要更細分的權(quán)限機制案站。以博客系統(tǒng)為例躬审，博客系統(tǒng)的用戶可分為『管理員』、『編輯』蟆盐、『作者』和『讀者』四個用戶組承边；博客系統(tǒng)管理員和編輯具有查看、修改和刪除所有的文章的權(quán)限石挂，作者只能修改和刪除自己寫的文章博助，而讀者則只有閱讀權(quán)限。管理員痹愚、編輯和讀者的權(quán)限富岳，我們可以用全局權(quán)限做控制，而對于作者拯腮，全局權(quán)限無法滿足需求窖式，僅通過全局權(quán)限，要么允許作者編輯不屬于自己的文章动壤，要么讓作者連自己的文章都無法修改萝喘。
上述的應(yīng)用場景，Django自帶的權(quán)限機制無法滿足需求琼懊，需要引入另一種更細的權(quán)限機制：對象權(quán)限（object permission）阁簸。
Object Permission是一種對象顆粒度上的權(quán)限機制，它允許為每個具體對象授權(quán)哼丈。仍沿用最開始的例子启妹，如果model B有三個實例 B1，B2 和B3醉旦，如果我們把B1的可寫權(quán)限賦予用戶A饶米，則A可以修改B1對象，而對B2髓抑，B3無法修改咙崎。對group也一樣优幸，如果將B2的可寫權(quán)限賦予group C吨拍，則隸屬于group C的所有用戶均可以修改B2，但無法修改B1和B3网杆。結(jié)合Django自帶權(quán)限機制和object permission羹饰，博客系統(tǒng)中作者的權(quán)限控制迎刃而解：系統(tǒng)全局上不允許作者編輯文章伊滋，而對于屬于作者的具體文章，賦予編輯權(quán)限即可队秩。
Django其實包含了object permission的框架笑旺，但沒有具體實現(xiàn)，object permission的實現(xiàn)需要借助第三方app django-guardian馍资，我們在開發(fā)中用調(diào)用django guradian封裝好的方法即可筒主。
1.2 Django的權(quán)限項
Django用permission對象存儲權(quán)限項，每個model默認都有三個permission鸟蟹，即add model, change model和delete model乌妙。例如，定義一個名為『Car』model建钥，定義好Car之后藤韵，會自動創(chuàng)建相應(yīng)的三個permission：add_car, change_car和delete_car。Django還允許自定義permission熊经，例如泽艘，我們可以為Car創(chuàng)建新的權(quán)限項：drive_car, clean_car, fix_car等等
需要注意的是，permission總是與model對應(yīng)的镐依，如果一個object不是model的實例匹涮，我們無法為它創(chuàng)建/分配權(quán)限。
2. Django 自帶權(quán)限機制的應(yīng)用
2.1 Permission
如上文所述槐壳，Django定義每個model后焕盟，默認都會添加該model的add, change和delete三個permission，自定義的permission可以在我們定義model時手動添加：
class Task(models.Model):
...
class Meta:
permissions = (
("view_task", "Can see available tasks"),
("change_task_status", "Can change the status of tasks"),
("close_task", "Can remove a task by setting its status as closed"),
)
每個permission都是django.contrib.auth.Permission類型的實例宏粤，該類型包含三個字段name, codename 和 content_type脚翘，其中 content_type反應(yīng)了permission屬于哪個model，codename如上面的view_task绍哎，代碼邏輯中檢查權(quán)限時要用来农， name是permission的描述，將permission打印到屏幕或頁面時默認顯示的就是name
在model中創(chuàng)建自定義權(quán)限崇堰，從系統(tǒng)開發(fā)的角度沃于，可理解為創(chuàng)建系統(tǒng)的內(nèi)置權(quán)限，如果需求中涉及到用戶使用系統(tǒng)時創(chuàng)建自定義權(quán)限海诲，則要通過下面方法：
from myapp.models import BlogPost
from django.contrib.auth.models import Permission
from django.contrib.contenttypes.models import ContentType
content_type = ContentType.objects.get_for_model(BlogPost)
permission = Permission.objects.create(codename='can_publish',
name='Can Publish Posts',
content_type=content_type)
2.2 User Permission管理
User對象的user_permission字段管理用戶的權(quán)限：
myuser.user_permissions = [permission_list]
myuser.user_permissions.add(permission, permission, ...) #增加權(quán)限
myuser.user_permissions.remove(permission, permission, ...) #刪除權(quán)限
myuser.user_permissions.clear() #清空權(quán)限
##############################################################
# 注：上面的permission為django.contrib.auth.Permission類型的實例
##############################################################
檢查用戶權(quán)限用has_perm()方法：
myuser.has_perm('myapp.fix_car')
has_perm()方法的參數(shù)繁莹，即permission的codename，但傳遞參數(shù)時需要加上model 所屬app的前綴特幔，格式為<app label>.<permission codename>咨演。
無論permission賦予user還是group，has_perm()方法均適用
附注：
user.get_all_permissions()方法列出用戶的所有權(quán)限蚯斯，返回值是permission name的list
user.get_group_permissions()方法列出用戶所屬group的權(quán)限薄风，返回值是permission name的list
2.3 Group Permission管理
group permission管理邏輯與user permission管理一致饵较，group中使用permissions字段做權(quán)限管理：
group.permissions = [permission_list]
group.permissions.add(permission, permission, ...)
group.permissions.remove(permission, permission, ...)
group.permissions.clear()
權(quán)限檢查：
依然使用user.has_perm()方法。
2.4 permission_required 裝飾器
權(quán)限能約束用戶行為遭赂，當(dāng)業(yè)務(wù)邏輯中涉及到權(quán)限檢查時循诉，decorator能夠分離權(quán)限驗證和核心的業(yè)務(wù)邏輯，使代碼更簡潔撇他，邏輯更清晰茄猫。permission的decorator為permission_required：
from django.contrib.auth.decorators import permission_required
@permission_required('car.drive_car')
def my_view(request):
...
2.5 Template中的權(quán)限檢查
Template中使用全局變量perms存儲當(dāng)前用戶的所有權(quán)限，權(quán)限檢查可以參考下面例子：
{% if perms.main.add_page %}
<li class="dropdown">
<a href="#" class="dropdown-toggle" data-toggle="dropdown" role="button" aria-expanded="false">Pages <span class="caret"></span></a>
<ul class="dropdown-menu" role="menu">
<li><a href="{% url 'main:admin_pages' %}">All Pages</a></li>
<li><a href="{% url 'main:admin_page' %}">New Page</a></li>
<li><a href="{% url 'main:admin_pages' %}?draft=true">Drafts</a></li>
</ul>
</li>
{% endif %}
3. 基于Django-guardian的object permission的應(yīng)用
Django-guardian基于django的原生邏輯擴展了django的權(quán)限機制困肩，應(yīng)用django-guardian后募疮，可以使用django-guardian提供的方法以及django的原生方法檢查全局權(quán)限，django-guardian提供的object permission機制使django的權(quán)限機制更加完善僻弹。
django-guardian詳細的使用文檔請參考官方文檔阿浓，其object permission常用方法如下：
from guardian.shortcuts import assign_perm, get_perms
from guardian.core import ObjectPermissionChecker
from guardian.decorators import permission_required
3.1 添加object permission
添加object permission使用assign_perm()方法，如為用戶添加對mycar對象的drive_car權(quán)限：
assign_perm('myapp.drive_car', request.user, mycar)
assign_perm()方法也可用于group
assign_perm('myapp.drive_car', mygroup, mycar)
3.2 權(quán)限檢查
3.2.1 Global permission
get_perms()方法用于檢查用戶的“全局權(quán)限”（global permission）蹋绽，與user.has_perm()異曲同工芭毙，如：
#############################
# It works!
#############################
if not 'main.change_post' in get_perms(request.user, post):
raise HttpResponse('Forbidden')
#############################
# It works, too!
#############################
if not request.user.has_perm('main.change_post')
return HttpResponse('Forbidden')
例子中雖然把post object作為參數(shù)傳給get_perms()方法，但它只檢查user的全局權(quán)限中是否有main.change_post權(quán)限卸耘，很多情況下可用原生的user.has_perm取代退敦，但user和group均可作為get_perms()的傳入?yún)?shù)，某些情況下可以使代碼更簡潔。
3.2.2 Object permission
Django-guardian中使用ObjectPermissionChecker檢查用戶的object permission，示例如下：
checker = ObjectPermissionChecker(request.user)
print checker.has_perm('main.change_post', post)
3.3 permission_required裝飾器
guardian.decorators.permission_required是django-guardian權(quán)限檢查的decorator更扁，既可以檢查全局權(quán)限，又可以檢查對象權(quán)限（object permission）钝域，其中，accept_global_perms參數(shù)指出是否檢查user的global permission锭魔，如：
from guardian.decorators import permission_required
class DeletePost(View):
@method_decorator(permission_required('main.delete_post',
(models.Post, 'id', 'pk'),
accept_global_perms=True))
def get(self, request, pk):
try:
pk = int(pk)
cur_post = models.Post.objects.get(pk=pk)
is_draft = cur_post.is_draft
url = reverse('main:admin_posts')
if is_draft:
url = '{0}?draft=true'.format(url)
cur_post.delete()
except models.Post.DoesNotExist:
raise Http404
return redirect(url)
注：
decorator中的(models.Post, 'id', 'pk')部分例证，用于指定object實例，如果忽略這個參數(shù)迷捧，則不論accept_global_perms值為True還是False织咧，均僅僅檢查全局權(quán)限。
4. 結(jié)論
Django原生提供了一種簡單的全局權(quán)限（global permission）控制機制漠秋，但很多應(yīng)用場景下笙蒙，對象權(quán)限（object permission）更加有用；django-guardian是目前比較活躍的一個django extension庆锦，提供了一種有效的object permission控制機制捅位，與django原生機制一脈相承，推薦使用。
