59 views

在Django项目中实现Rbac

By | 2019年2月25日

Rbac是什么?

它的意思是基于角色的权限控制,它有着将客户和权限分别开来的优点,以及代码的可维护性和扩展性。

案例:资产管理系统

功能按照不同的客户登录来分配不同的权限,比如说Tom是技术总监,他有着对所有页面的增删改查权限,但是一般的客户登录时,只能进行所有页面的查询以及查看,而不能进行其他任何操作。

1.在django中把rbac做成组件,到别的项目也可以直接拿来用
2.在项目中新创建一个名为rbac应用,startapp rbac
3.在rbac应用里mode.pyl写ORM,分别是账号表,角色表,权限表,权限组表

from django.db import models

# Create your models here.
class Account(models.Model):
name=models.CharField(max_length=32)
pwd=models.CharField(max_length=32)
roles=models.ManyToManyField(to=”Role”)
def __str__(self): return self.name

class Role(models.Model):
title=models.CharField(max_length=32)
permissions=models.ManyToManyField(to=”Permission”)
def __str__(self): return self.title

class Permission(models.Model):
title=models.CharField(max_length=32)
url=models.CharField(max_length=32)
action=models.CharField(max_length=32,default=””)
group=models.ForeignKey(“PermissionGroup”,default=1,on_delete=models.CASCADE)
def __str__(self):return self.title

class PermissionGroup(models.Model):
title = models.CharField(max_length=32)
def __str__(self): return self.title
4.在rdac的admin文件中添加下面数据,为了后台管理

from django.contrib import admin
from .models import *
class PerConfig(admin.ModelAdmin):
list_display = [“title”,”url”,”group”,”action”]
admin.site.register(Account)
admin.site.register(Role)
admin.site.register(Permission,PerConfig)
admin.site.register(PermissionGroup)

def initial_session(user,request):
#获取当前用户所在的所有角色拥有的权限url,组id,动作,去掉重复
permissions = user.roles.all().values(“permissions__url”,”permissions__group_id”,”permissions__action”).distinct()

#把结果放到一个字典中
permission_dict={}
for item in permissions:
gid=item.get(‘permissions__group_id’)

#判断当前组id是否已经存在到字典中
if not gid in permission_dict:
#加逗号是因为考虑还有数据
#permission_dict{1:{“url”:[“/device_list/”],”action”:”[search”]},2:{“url”:[“/device_list/”],”action”:[“search”}]}
permission_dict[gid]={
“urls”:[item[“permissions__url”],],
“actions”:[item[“permissions__action”],]
}
else:
permission_dict[gid][“urls”].append(item[“permissions__url”])
permission_dict[gid][“actions”].append(item[“permissions__action”])

request.session[‘permission_dict’] = permission_dict

然后再创建rbac.py,写一个类,最终写到setting.py的MIDDLEWARE。

import re
from django.utils.deprecation import MiddlewareMixin
from django.shortcuts import  HttpResponse,redirect

class ValidPermission(MiddlewareMixin):
def process_request(self,request):

# 当前访问路径
current_path = request.path_info

# 检查是否属于白名单,如果是下面路径url不用校验
valid_url_list=[“/login/”,”/reg/”,”/admin/.*”,”/index/”,’/logout/’]

for valid_url in valid_url_list:
ret=re.match(valid_url,current_path)
if ret:
return None

# 校验是否登录,这步是为了让用户去登陆,而不是返回一个没有权限的页面
user_id=request.session.get(“user_id”)
if not user_id:
return redirect(“/index/”)

# 校验url
permission_dict=request.session.get(“permission_dict”)
for item in permission_dict.values():
urls=item[‘urls’]
for reg in urls:
reg=”^%s$”%reg
ret=re.match(reg,current_path)
if ret:
request.actions=item[‘actions’]
return None

return HttpResponse(“没有访问权限!”)

5.写views.py文件,当用户在登陆页面登陆发送账号密码过来时,进行校验,如果存在账号表中,就在session会话中注册这个用户id,调用rbac组件,如果通过了就返回页面

#登陆函数
def login(request):
if  request.method==”POST”:
user=request.POST.get(“user”)
pwd=request.POST.get(“pwd”)
#获取Account表里面去找有没有当前的用户名和密码
user=Account.objects.filter(name=user,pwd=pwd).first()
if user:
############################### 在session中注册用户ID######################
request.session[“user_id”]=user.pk
#调用组件
initial_session(user,request)
return redirect(“/device_list/”)
return render(request,”index.html”)
6.在view.py视图文件中添加下面代码,Per(request.actions)获取当前用户动作

class Per(object):
def __init__(self,actions):
self.actions=actions
def add(self):
return “add” in self.actions
def delete(self):
return “delete” in self.actions
def edit(self):
return “edit” in self.actions
def list(self):
return “search” in self.actions

def device_list(request):
ret = models.Device.objects.all()
#在前端页面显示用户名
per = Per(request.actions)
return render(request, ‘device/device_list.html’, locals())
7.前端页面写模板语言,下面代码是写在form表单

<div class=”col-md-1 pull-right new-add”>
#判断用户是否有add添加权限,如果有则显示按钮,否则不显示
{% if per.add %}
<a href=”/add_device/” class=”btn btn-success”>
<i class=”fa fa-plus fa-fw”></i>新增
</a>
{% endif %}
</div>
同样是判断是否有删除和编辑权限

{% if per.delete %}
<a class=”btn btn-danger del” href=”/del_device/{{ device.id }}”>
<i class=”fa fa-trash-o fa-fw”></i>删除
</a>
{% endif %}
{% if per.edit %}
<a class=”btn btn-info” href=”/edit_device/{{ device.id }}”>
<i class=”fa fa-pencil fa-fw”></i>编辑
</a>
{% endif %}

8.进行测试

本文转载于:      http://win-man.com
本文关键词:   高防CDN     加速CDN     免备案CDN
作者:网站安全技术员

发表评论

电子邮件地址不会被公开。 必填项已用*标注