django rest-framework 4.REST的认证和权限

目前，我们的API对谁可以编辑或删除代码段没有任何限制。我们想要一些更先进的行为，以确保：（这段话抄自官网）

• 代码段始终与创建者相关联。
• 只有身份验证的用户可以创建片段。
• 只有片段的创建者可以更新或删除它。
• 未经身份验证的请求应具有完全只读访问权限。

一、将信息添加至 model

使用官方例子在表中添加用户字段，该字段用来判断是否与登录用户有关系。

owner = models.ForeignKey('auth.User', related_name='snippets', on_delete=models.CASCADE)
highlighted = models.TextField()

这里的owner用户关联的为django admin的认证用户，该字段用与匹配登录用户是否有权限修改该数据（后面涉及到）。

二、为用户模型添加端点

为 auth.User 表添加到api中，首先需要添加序列化。由于snippets（这里的smippets为外键的related_name,默认为"表名_set"）在用户模型上是反向关系，所以在使用ModelSerializer 类时它不会被默认包含，需要添加一个显示的字段。

# 用户序列化函数  serializers.py
from django.contrib.auth.models import User

class UserSerializer(serializers.ModelSerializer):
    snippets = serializers.PrimaryKeyRelatedField(many=True, queryset=Snippet.objects.all())

    class Meta:
        model = User
        fields = ('id', 'username', 'snippets')

# 用户视图函数  views.py
from django.contrib.auth.models import User
from snippets.serializers import UserSerializer

class UserList(generics.ListAPIView):
    queryset = User.objects.all()
    serializer_class = UserSerializer


class UserDetail(generics.RetrieveAPIView):
    queryset = User.objects.all()
    serializer_class = UserSerializer
#  配置URL conf
url(r'^users/$', views.UserList.as_view()),
url(r'^users/(?P<pk>[0-9]+)/$', views.UserDetail.as_view()),

三、snippets 和 user 关联

关联用户通过重写SnippetList 视图类的 perform_create()，该方法修改实例保存的管理方式，并处理传入请求或request中的任何信息。

　　在SnippetList视图类上，添加以下方法：(个人理解：使保存的数据用户字段为登录用户的信息)

def perform_create(self, serializer):
    serializer.save(owner=self.request.user)

四、更新serializer

snippets 和 user关联后，在snippets中owner的信息默认为id信息，更新序列化类（serializer）是owner显示为用户名信息。

# 更新 SmippetSerializer 添加如下：
owner = serializers.ReadOnlyField(source='owner.username')

# 并确保 fields 中有owner字段。

　　我们添加的是无类型的 ReadOnlyField 类，与其他类型的字段（CharField,BooleanField等）相比ReadOnlyField 总是只读的。如果设置为ReadOnlyField 该字段则不用用于更新（但是参数还是会传递到后端。），我们也可以使用CharField(read_only=Ture)来指定字段类型并且设置为只读字段。

五、为视图添加权限

　　既然Snippet和user相关联，我们希望只有经过身份验证的用户才能创建，更新和删除代码片段。

　　REST框架包含许多权限类，我们可以使用这些权限类来限制可以访问给定视图的人员。在这种情况下，我们正在寻找的是IsAuthenticatedOrReadOnly确保经过身份验证的请求获得读写访问权限，未经身份验证的请求获得只读访问权限。

　　首先在视图模块中添加以下导入：

from rest_framework import permissions

接着，下面的属性添加到都在SnippetList和SnippetDetail视图类。

permission_classes = (permissions.IsAuthenticatedOrReadOnly,)

六、添加登录API

在适当的urls.py文件中天剑URLconf在添加可浏览API的登录视图。

from django.conf.urls import include

# 按需添加如下urlconf，r'^api-auth/'模式的部分实际上可以是您想要使用的任何URL。
urlpatterns += [
    url(r'^api-auth/', include('rest_framework.urls')),
]

七、对象级权限

　　我们希望所有人都可以看到所有代码片段，但也要确保只有创建代码段的用户才能更新或删除它。为此，我们需要创建一个自定义权限。

在app中创建一个新文件，permissions.py

from rest_framework import permissions


class IsOwnerOrReadOnly(permissions.BasePermission):
    """
    Custom permission to only allow owners of an object to edit it.
    """

    def has_object_permission(self, request, view, obj):
        # Read permissions are allowed to any request,
        # so we'll always allow GET, HEAD or OPTIONS requests.
        # 当用户请求的为查询操作使，对用户没有限制
        if request.method in permissions.SAFE_METHODS:
            return True

        # Write permissions are only allowed to the owner of the snippet.
        # 否则判断用户是否与操作数据的用户相同，返回Ture or False
        return obj.owner == request.user    

　　添加完之后在SnippetDetail类视图中添加 permission_classes属性来将该自定义权限加到代码中：

　　记得导入 IsOwnerOrReadOnly  （from snippets.permissions import IsOwnerOrReadOnly）

permission_classes = (permissions.IsAuthenticatedOrReadOnly,IsOwnerOrReadOnly,)