自定义对象级权限 – Django REST 框架

Django REST 框架提供了一组默认的权限类，但在某些情况下需要自定义对象级别的权限。本文将介绍如何实现自定义对象级别的权限。

1. 创建自定义权限类

首先，我们需要创建一个自定义权限类。我们可以继承 DRF 中的 BasePermission 或者 DjangoModelPermission。

from rest_framework.permissions import BasePermission

class CustomObjectPermission(BasePermission):

    def has_object_permission(self, request, view, obj):

        # 根据自己的需求检查权限
        if request.user.is_authenticated and request.user == obj.user:
            return True
        else:
            return False

在上面的示例中，我们定义了一个名为 CustomObjectPermission 的自定义权限类，重写了 has_object_permission 方法。该方法接收一个 request、一个 view 和一个 obj 参数，用于检查是否有权限。

在 has_object_permission 方法中，我们检查了用户是否已经通过验证，以及该用户是否与传递的对象（obj）相关联。如果权限被授予，该方法应该返回 True，否则返回 False。

2. 将自定义权限应用到视图中

接下来，我们需要将自定义权限应用到视图中。可以在视图类中的 permission_classes 属性中声明自定义权限类。例如：

from rest_framework.views import APIView
from rest_framework.response import Response
from rest_framework.permissions import IsAuthenticated
from .permissions import CustomObjectPermission
from .models import MyModel

class MyView(APIView):

    permission_classes = [IsAuthenticated, CustomObjectPermission]

    def get(self, request, pk):
        my_model = MyModel.objects.get(pk=pk)
        # 检查权限
        self.check_object_permissions(request, my_model)
        # 其余代码
        return Response("Success")

在上面的示例中，我们有一个名为 MyView 的视图类，该类定义了一个 get() 方法，用于从数据库中获取一个模型实例。我们可以将 CustomObjectPermission 添加到 permission_classes 中。这将要求用户已经通过验证，并检查每次请求是否有权限访问特定的模型实例。

为了确保权限被检查，我们需要在 get() 方法中调用 self.check_object_permissions(request, my_model) 方法。

3. 结论

通过上述步骤，我们成功地自定义了一个对象级别的权限类，并将其应用到了视图中。

值得注意的是，自定义权限类的实现可以在某些情况下非常复杂，这可能需要仔细地研究和测试。但是，如果我们需要在应用程序中实现特定的角色和权限模型，自定义对象级别权限是完全必要的。

参考文献

• Custom permissions in Django REST framework