如何在Django中实现基于角色的访问控制-Python教程-PHP中文网

如何在django中实现基于角色的访问控制

本文详细介绍了在Django框架中实现基于角色访问控制（RBAC）的策略。我们将探讨如何利用Django内置的用户、组和权限系统来管理不同角色的访问权限，例如经理可以查看所有公司数据，而普通用户只能访问其所属部门的数据。文章涵盖了模型级权限的配置、视图和模板中的权限检查，以及针对更细粒度（如部门级）访问控制的自定义逻辑实现方法，并提供了相应的代码示例和最佳实践建议。

引言：理解Django中的角色与权限

在Web应用开发中，基于角色的访问控制（Role-Based Access Control, RBAC）是一种常见的安全机制，它允许系统管理员根据用户的角色来授予或限制其对特定资源的访问权限。例如，一个“经理”角色可能拥有查看所有数据报表的权限，而一个“普通用户”角色可能只能查看其自己部门的数据。Django框架提供了一套强大且灵活的内置权限系统，可以帮助我们高效地实现这些需求。

本教程将指导您如何在Django中构建一个能够区分“经理”和“普通用户”两种角色的系统，并实现以下功能：

经理（Manager）：能够查看公司的所有部门仪表盘。
普通用户（Normal User）：只能查看其所属部门的仪表盘，并且无法访问其他部门的仪表盘。

我们将从Django内置的用户、组和权限系统入手，逐步深入到自定义权限逻辑的实现。

Django内置权限系统概览

Django的内置权限系统基于django.contrib.auth模块，它提供了User（用户）、Group（组）和Permission（权限）模型。

用户（User）：代表系统中的个体用户。
组（Group）：是用户集合的一种方式，可以为组分配权限，然后将用户添加到组中，用户便继承了组的所有权限。这简化了权限管理，特别是当用户数量和角色类型较多时。
权限（Permission）：通常与Django模型关联。当您定义一个模型时，Django会自动为该模型生成四种默认权限：
- add_modelname (添加)
- change_modelname (修改)
- delete_modelname (删除)
- view_modelname (查看) 这些权限允许用户对整个模型（而非单个对象）执行操作。

实践：配置经理角色（Manager）

经理角色需要能够查看所有部门的仪表盘。这可以通过Django的内置组和模型级权限来实现。

1. 定义模型

首先，我们需要定义一些基本模型，例如Department（部门）和Dashboard（仪表盘）。为了简化，我们将User模型扩展以包含部门信息。

# myapp/models.py
from django.db import models
from django.contrib.auth.models import AbstractUser

class Department(models.Model):
    name = models.CharField(max_length=100, unique=True)

    def __str__(self):
        return self.name

class User(AbstractUser):
    department = models.ForeignKey(Department, on_delete=models.SET_NULL, null=True, blank=True)

    class Meta:
        verbose_name = '用户'
        verbose_name_plural = '用户'
        # 可以添加自定义权限，例如 'can_view_all_dashboards'
        permissions = [
            ("can_view_all_dashboards", "Can view all department dashboards"),
        ]

class Dashboard(models.Model):
    name = models.CharField(max_length=200)
    description = models.TextField(blank=True)
    department = models.ForeignKey(Department, on_delete=models.CASCADE)
    # 其他仪表盘相关字段

    def __str__(self):
        return f"{self.name} ({self.department.name})"

    class Meta:
        verbose_name = '仪表盘'
        verbose_name_plural = '仪表盘'

登录后复制

注意：在User模型中添加department字段后，需要将其设置为AUTH_USER_MODEL并在settings.py中指定：

# settings.py
AUTH_USER_MODEL = 'myapp.User'

登录后复制

然后运行makemigrations和migrate。

2. 在Django Admin中配置组和权限

创建组：
- 登录Django管理后台。
- 导航到“认证和授权” -> “组”。
- 点击“添加组”，创建一个名为“Manager”的组。
分配权限：
- 在“Manager”组的编辑页面，找到“可用权限”列表。
- 将myapp | dashboard | Can view dashboard、myapp | department | Can view department以及myapp | user | Can view user等所有与查看相关的权限添加到“已选择权限”中。如果您希望经理拥有所有模型的完整操作权限，也可以添加add_、change_、delete_权限。
- 保存组。
将用户分配到组：
- 导航到“认证和授权” -> “用户”。
- 编辑一个现有用户或创建一个新用户，并将其添加到“Manager”组中。

3. 在视图中检查权限

在Django视图中，您可以使用@permission_required装饰器或request.user.has_perm()方法来检查用户是否具有特定权限。

# myapp/views.py
from django.contrib.auth.decorators import permission_required
from django.shortcuts import render
from .models import Dashboard, Department

@permission_required('myapp.view_dashboard', raise_exception=True)
def manager_dashboard_view(request):
    """
    经理可以看到所有部门的仪表盘。
    """
    all_dashboards = Dashboard.objects.all().order_by('department__name', 'name')
    context = {
        'dashboards': all_dashboards,
        'role': 'Manager'
    }
    return render(request, 'myapp/all_dashboards.html', context)

登录后复制

raise_exception=True会在用户没有权限时抛出PermissionDenied异常，Django会将其转换为403 Forbidden错误。

4. 在模板中检查权限

您可以在模板中使用{% if perms.app_label.permission_codename %}来根据用户权限显示或隐藏内容。

<!-- myapp/templates/myapp/all_dashboards.html -->
<!DOCTYPE html>
<html lang="zh-CN">
<head>
    <meta charset="UTF-8">
    <title>所有部门仪表盘</title>
</head>
<body>
    <h1>{{ role }} 仪表盘视图</h1>

    {% if perms.myapp.view_dashboard %}
        <h2>所有部门仪表盘列表</h2>
        <ul>
            {% for dashboard in dashboards %}
                <li>{{ dashboard.department.name }} - {{ dashboard.name }}</li>
            {% empty %}
                <li>没有可用的仪表盘。</li>
            {% endfor %}
        </ul>
    {% else %}
        <p>您没有权限查看所有部门的仪表盘。</p>
    {% endif %}
</body>
</html>

登录后复制

实践：实现部门级用户访问控制（Normal User）

普通用户只能查看其所属部门的仪表盘。这种需求属于对象级权限（Object-level Permissions），即用户对特定模型实例（例如，某个具体的Dashboard对象）的访问权限。Django内置的模型级权限无法直接满足这种细粒度控制，因此我们需要在视图层实现自定义逻辑。

代码小浣熊

代码小浣熊是基于商汤大语言模型的软件智能研发助手，覆盖软件需求分析、架构设计、代码编写、软件测试等环节

396

查看详情

1. 设计模型（已完成，见上文）

确保User模型有一个指向Department的外键。

2. 在视图中实现数据过滤（核心）

对于普通用户，我们需要在获取仪表盘数据时，根据用户的部门进行过滤。

# myapp/views.py
from django.contrib.auth.decorators import login_required # 确保用户已登录
from django.shortcuts import render, get_object_or_404
from django.http import Http404
from .models import Dashboard, Department

@login_required
def normal_user_dashboard_view(request):
    """
    普通用户只能看到自己部门的仪表盘。
    """
    user_department = request.user.department

    if not user_department:
        # 如果用户没有分配部门，则显示无权限或无数据
        return render(request, 'myapp/no_department_access.html', {'message': '您没有分配部门，无法查看仪表盘。'})

    # 过滤仪表盘，只显示用户所属部门的仪表盘
    department_dashboards = Dashboard.objects.filter(department=user_department).order_by('name')

    context = {
        'dashboards': department_dashboards,
        'department_name': user_department.name,
        'role': 'Normal User'
    }
    return render(request, 'myapp/department_dashboards.html', context)

# 如果有单个仪表盘的详情页，也需要进行部门验证
@login_required
def dashboard_detail_view(request, dashboard_id):
    dashboard = get_object_or_404(Dashboard, id=dashboard_id)

    # 检查用户是否属于该仪表盘的部门
    if request.user.department != dashboard.department:
        raise Http404("您无权访问此仪表盘。") # 或者返回一个权限不足的页面

    context = {
        'dashboard': dashboard
    }
    return render(request, 'myapp/dashboard_detail.html', context)

登录后复制

关键点：Dashboard.objects.filter(department=user_department)是实现部门级访问控制的核心。它确保了查询集只包含当前用户所属部门的仪表盘。

3. 在模板中展示数据

普通用户的模板将只接收并显示其部门的仪表盘。

<!-- myapp/templates/myapp/department_dashboards.html -->
<!DOCTYPE html>
<html lang="zh-CN">
<head>
    <meta charset="UTF-8">
    <title>{{ department_name }} 部门仪表盘</title>
</head>
<body>
    <h1>{{ role }} 仪表盘视图 - {{ department_name }} 部门</h1>

    {% if dashboards %}
        <h2>{{ department_name }} 部门仪表盘列表</h2>
        <ul>
            {% for dashboard in dashboards %}
                <li>{{ dashboard.name }}: {{ dashboard.description }}</li>
            {% endfor %}
        </ul>
    {% else %}
        <p>您的部门目前没有可用的仪表盘。</p>
    {% endif %}
</body>
</html>

登录后复制

4. 路由配置

别忘了在urls.py中配置相应的URL模式。

# myapp/urls.py
from django.urls import path
from . import views

urlpatterns = [
    path('manager/dashboards/', views.manager_dashboard_view, name='manager_dashboards'),
    path('user/dashboards/', views.normal_user_dashboard_view, name='user_dashboards'),
    path('dashboards/<int:dashboard_id>/', views.dashboard_detail_view, name='dashboard_detail'),
    # 其他URL...
]

登录后复制

高级考量与最佳实践

权限粒度：
- 模型级权限适用于控制用户对整个模型类型（例如，所有Dashboard对象）的操作权限。
- 对象级权限适用于控制用户对特定模型实例（例如，某个Dashboard对象）的操作权限。当内置权限不足时，通常需要在视图层通过自定义查询过滤或使用第三方库（如django-guardian）来实现。
自定义权限：您可以在模型的Meta类中定义自定义权限，例如在User模型中添加can_view_all_dashboards。
```
class User(AbstractUser):
    # ...
    class Meta:
        permissions = [
            ("can_view_all_dashboards", "Can view all department dashboards"),
        ]
```
登录后复制
然后您可以在Django Admin中将此权限分配给“Manager”组，并在视图中使用@permission_required('myapp.can_view_all_dashboards')来检查。
第三方库：如果您的对象级权限需求非常复杂（例如，需要为每个用户单独配置对每个对象的读/写权限），可以考虑使用django-guardian等第三方库，它们提供了更强大的对象级权限管理功能。
安全性：
- 始终在后端（视图）进行权限检查。前端（模板或JavaScript）的权限检查仅用于用户体验，不能作为安全保障。恶意用户可以绕过前端检查直接发送请求。
- 使用@login_required确保只有登录用户才能访问受保护的视图。
可扩展性：随着角色和部门的增加，权限管理可能会变得复杂。保持清晰的模型设计、合理利用Django的组功能以及模块化您的视图逻辑是提高可扩展性的关键。