| 一、简介 |
在上一篇博客中已经介绍了django rest framework 对于认证的源码流程，以及实现过程，当用户经过认证之后下一步就是涉及到权限的问题。比如订单的业务只能VIP才能查看，所以这时候需要对权限进行控制。下面将介绍DRF的权限控制源码剖析。
| 二、基本使用 |
这里继续使用之前的示例，加入相应的权限，这里先介绍使用示例，然后在分析权限源码
1.在django 项目下新建立目录utils，并建立permissions.py，添加权限控制：
class MyPremission(object): message = "您不是会员无权访问" def has_permission(self,request,view): if request.user.user_type == 1: ## user_type 为1代表普通用户，则不能查看 return False return True
2.在订单视图中使用
class OrderView(APIView): '''查看订单''' from utils.permissions import MyPremission authentication_classes = [Authentication,] #添加认证 permission_classes = [MyPremission,] #添加权限 def get(self,request,*args,**kwargs): #request.user #request.auth ret = {'code':1000,'msg':"你的订单已经完成",'data':"买了一个mac"} return JsonResponse(ret,safe=True)
urls.py
from django.conf.urls import url from django.contrib import admin from app01 import views urlpatterns = [ url(r'^api/v1/auth', views.AuthView.as_view()), url(r'^api/v1/order', views.OrderView.as_view()), ]
models.py
from django.db import models class UserInfo(models.Model): user_type_choice = ( (1,"普通用户"), (2,"会员"), ) user_type = models.IntegerField(choices=user_type_choice) username = models.CharField(max_length=32,unique=True) password = models.CharField(max_length=64) class UserToken(models.Model): user = models.OneToOneField(to=UserInfo) token = models.CharField(max_length=64)
3.验证：订单业务同样使用user_type=1的用户进行验证，这里使用工具postman发送请求验证，结果如下：证明我们的权限生效了。
| 三、权限源码剖析 |
1.同样请求到达视图时候，先执行APIView的dispatch方法，以下源码是我们在认证篇已经解读过了：
dispatch()
def dispatch(self, request, *args, **kwargs): """ `.dispatch()` is pretty much the same as Django's regular dispatch, but with extra hooks for startup, finalize, and exception handling. """ self.args = args self.kwargs = kwargs #对原始request进行加工，丰富了一些功能 #Request( # request, # parsers=self.get_parsers(), # authenticators=self.get_authenticators(), # negotiator=self.get_content_negotiator(), # parser_context=parser_context # ) #request(原始request,[BasicAuthentications对象，]) #获取原生request,request._request #获取认证类的对象，request.authticators #1.封装request request = self.initialize_request(request, *args, **kwargs) self.request = request self.headers = self.default_response_headers # deprecate? try: #2.认证 self.initial(request, *args, **kwargs) # Get the appropriate handler method if request.method.lower() in self.http_method_names: handler = getattr(self, request.method.lower(), self.http_method_not_allowed) else: handler = self.http_method_not_allowed response = handler(request, *args, **kwargs) except Exception as exc: response = self.handle_exception(exc) self.response = self.finalize_response(request, response, *args, **kwargs) return self.response
2.执行inital方法，initial方法中执行perform_authentication则开始进行认证
def initial(self, request, *args, **kwargs): """ Runs anything that needs to occur prior to calling the method handler. """ self.format_kwarg = self.get_format_suffix(**kwargs) # Perform content negotiation and store the accepted info on the request neg = self.perform_content_negotiation(request) request.accepted_renderer, request.accepted_media_type = neg # Determine the API version, if versioning is in use. version, scheme = self.determine_version(request, *args, **kwargs) request.version, request.versioning_scheme = version, scheme # Ensure that the incoming request is permitted #4.实现认证 self.perform_authentication(request) #5.权限判断 self.check_permissions(request) self.check_throttles(request)
3.当执行完perform_authentication方法认证通过时候，这时候就进入了本篇文章主题--权限(check_permissions方法)，下面是check_permissions方法源码：
def check_permissions(self, request): """ Check if the request should be permitted. Raises an appropriate exception if the request is not permitted. """ for permission in self.get_permissions(): #循环对象get_permissions方法的结果，如果自己没有，则去父类寻找， if not permission.has_permission(request, self): #判断每个对象中的has_permission方法返回值（其实就是权限判断），这就是为什么我们需要对权限类定义has_permission方法 self.permission_denied( request, message=getattr(permission, 'message', None) #返回无权限信息，也就是我们定义的message共有属性 )
4.从上源码中我们可以看出，perform_authentication方法中循环get_permissions结果，并逐一判断权限，所以需要分析get_permissions方法返回结果，以下是get_permissions方法源码：
def get_permissions(self): """ Instantiates and returns the list of permissions that this view requires. """ return [permission() for permission in self.permission_classes] #与权限一样采用列表生成式获取每个认证类对象
5.get_permissions方法中寻找权限类是通过self.permission_class字段寻找，和认证类一样默认该字段在全局也有配置，如果我们视图类中已经定义，则使用我们自己定义的类。
class APIView(View): # The following policies may be set at either globally, or per-view. renderer_classes = api_settings.DEFAULT_RENDERER_CLASSES parser_classes = api_settings.DEFAULT_PARSER_CLASSES authentication_classes = api_settings.DEFAULT_AUTHENTICATION_CLASSES throttle_classes = api_settings.DEFAULT_THROTTLE_CLASSES permission_classes = api_settings.DEFAULT_PERMISSION_CLASSES #权限控制 content_negotiation_class = api_settings.DEFAULT_CONTENT_NEGOTIATION_CLASS metadata_class = api_settings.DEFAULT_METADATA_CLASS versioning_class = api_settings.DEFAULT_VERSIONING_CLASS
6.承接check_permissions方法，当认证类中的has_permission()方法返回false时(也就是认证不通过)，则执行self.permission_denied(),以下是self.permission_denied()源码：
def permission_denied(self, request, message=None): """ If request is not permitted, determine what kind of exception to raise. """ if request.authenticators and not request.successful_authenticator: raise exceptions.NotAuthenticated() raise exceptions.PermissionDenied(detail=message) # 如果定义了message属性，则抛出属性值
7.认证不通过，则至此django rest framework的权限源码到此结束，相对于认证源码简单一些。
| 四、内置权限验证类 |
django rest framework 提供了内置的权限验证类，其本质都是定义has_permission()方法对权限进行验证：
#路径：rest_framework.permissions ##基本权限验证 class BasePermission(object) ##允许所有 class AllowAny(BasePermission) ##基于django的认证权限，官方示例 class IsAuthenticated(BasePermission): ##基于django admin权限控制 class IsAdminUser(BasePermission) ##也是基于django admin class IsAuthenticatedOrReadOnly(BasePermission) .....
| 五、总结 |
1.使用方法：
- 继承BasePermission类(推荐)
- 重写has_permission方法
- has_permission方法返回True表示有权访问，False无权访问
2.配置：
###全局使用 REST_FRAMEWORK = { #权限 "DEFAULT_PERMISSION_CLASSES":['API.utils.permission.MyPremission'], } ##单一视图使用,为空代表不做权限验证 permission_classes = [MyPremission,] ###优先级 单一视图>全局配置