RestFramework之权限组件

一、权限组件的使用

　　1.首先需要导入包

from rest_framework.permissions import BasePermission

　　2.编写权限类

class VipPermission(BasePermission):

    message = '无权访问'

    def has_permission(self, request, view):

        if request.user.user_level >= 2:

            return True

        else:

            return False

　　3.最后在视图中加入一行代码

permission_classes = [VipPermission]  # 权限类

　　也可以在setting中配置:

REST_FRAMEWORK = {

    # 序列化

    'DEFAULT_PARSER_CLASSES': (

        'rest_framework.parsers.JSONParser',

        'rest_framework.parsers.FormParser',

        'rest_framework.parsers.MultiPartParser'

    ),

    # 认证

    'DEFAULT_AUTHENTICATION_CLASSES': (

        'app01.utils.auth_class.UserAuth',

    ),

    # 权限

    'DEFAULT_PERMISSION_CLASSES': (

        'app01.utils.permission_class.VipPermission',  # 注意这里是要一个可迭代的，所以逗号不能少

    ),

}

二、源码剖析

　　restframework的权限组件与认证组件源码类似,都需要我们自己写一个类，然后放在 permission_classes中，或者全局settings中配置；

我们直接看在dispatch()中的权限组件部分干了什么。

  def initial(self, request, *args, **kwargs):

        """

        Runs anything that needs to occur prior to calling the method handler.

        """

        self.format_kwarg = self.get_format_suffix(**kwargs)

        # Perform content negotiation and store the accepted info on the request

        neg = self.perform_content_negotiation(request)

        request.accepted_renderer, request.accepted_media_type = neg

        # Determine the API version, if versioning is in use.

        version, scheme = self.determine_version(request, *args, **kwargs)

        request.version, request.versioning_scheme = version, scheme

        # Ensure that the incoming request is permitted

        self.perform_authentication(request)

        self.check_permissions(request)  # 权限组件

        self.check_throttles(request)

　　再看 self.check_permissions(request)：

    def check_permissions(self, request):

        """

        Check if the request should be permitted.

        Raises an appropriate exception if the request is not permitted.

        """

        for permission in self.get_permissions():

            if not permission.has_permission(request, self):  #

                self.permission_denied(

                    request, message=getattr(permission, 'message', None)

                )

　　可以看到，这个组件更加简单了，没有封装到request对象中，而是直接放在了APIView中；

根据源码我们写的类需要这么写：需要一个has_permission()的方法，这个方法要是返回True，表示权限认证通过；还可以定义一个message，返回我们自定义的错误信息

验证一下没有权限访问时会怎样:

巴特西

RestFramework之权限组件

一、权限组件的使用

二、源码剖析

最新文章

热门文章