Разрешения на уровне объекта инфраструктуры Django REST

Раньше я делал это с помощью специального разрешения и переопределил has_object_permission вроде следующего:

from rest_framework import permissions


class MyUserPermissions(permissions.BasePermission):
    """
    Handles permissions for users.  The basic rules are

     - owner may GET, PUT, POST, DELETE
     - nobody else can access
     """

    def has_object_permission(self, request, view, obj):

        # check if user is owner
        return request.user == obj

Вы можете сделать некоторые более подробные вещи, такие как запретить определенные типы запросов (например, разрешить GET-запросы для всех пользователей):

class MyUserPermissions(permissions.BasePermission):

    def has_object_permission(self, request, view, obj):

        # Allow get requests for all
        if request.method == 'GET':
            return True
        return request.user == obj

Затем, на ваш взгляд, вы говорите ему использовать класс разрешений:

from my_custom_permissions import MyUserPermissions

class UserView(generics.ListCreateAPIView):
    ...
    permission_classes = (MyUserPermissions, )
    ...

У меня такая же потребность. Назовем мое приложение x. Вот что я придумал.

Сначала поместите это в x/viewsets.py:

# viewsets.py
from rest_framework import mixins, viewsets

class DetailViewSet(
  mixins.CreateModelMixin,
  mixins.RetrieveModelMixin,
  mixins.UpdateModelMixin,
  mixins.DestroyModelMixin,
  viewsets.GenericViewSet):
    pass

class ReadOnlyDetailViewSet(
  mixins.RetrieveModelMixin,
  viewsets.GenericViewSet):
    pass

class ListViewSet(
  mixins.ListModelMixin,
  viewsets.GenericViewSet):
    pass

Затем в x/permissions.py:

# permissions.py
from rest_framework import permissions

class UserIsOwnerOrAdmin(permissions.BasePermission):
    def has_permission(self, request, view):
        return request.user and request.user.is_authenticated()

    def check_object_permission(self, user, obj):
        return (user and user.is_authenticated() and
          (user.is_staff or obj == user))

    def has_object_permission(self, request, view, obj):
        return self.check_object_permission(request.user, obj)

Затем в x/views.py:

# views.py
from x.viewsets import DetailViewSet, ListViewSet
from rest_framework import permissions

class UserDetailViewSet(DetailViewSet):
    queryset = User.objects.all()
    serializer_class = UserDetailSerializer
    permission_classes = (UserIsOwnerOrAdmin,)

class UserViewSet(ListViewSet):
    queryset = User.objects.all()
    serializer_class = UserSerializer
    permission_classes (permissions.IsAdminUser,)

Кстати, обратите внимание, что вы можете использовать другой сериализатор для этих двух наборов представлений, что означает, что вы можете отображать разные атрибуты в представлении list, чем в представлении retrieve! Например:

# serializers.py
class UserSerializer(serializers.HyperlinkedModelSerializer):
    class Meta:
        model = User
        fields = ('username', 'url',)

class UserDetailSerializer(serializers.HyperlinkedModelSerializer):
    class Meta:
        model = User
        fields = ('url', 'username', 'groups', 'profile', 'password',)
        write_only_fields = ('password',)

Затем в x/urls.py:

# urls.py
from x import views
from rest_framework import routers

router = routers.DefaultRouter()
router.register(r'users', views.UserViewSet)
router.register(r'users', views.UserDetailViewSet)

...

Я был слегка удивлен, что router дважды принял один и тот же шаблон, но, похоже, он работает.

Предостережение: я подтвердил, что все это работает через браузер API, но я еще не пробовал обновлять через API.

На случай непредвиденных ситуаций в документации об ограничениях разрешений на уровне объекта говорится:

For performance reasons the generic views will not automatically apply object level permissions to each instance in a queryset when returning a list of objects.

Таким образом, просмотр подробностей будет работать, но для списка вам потребуется фильтр против текущий пользователь.

Еще одна вещь к ответу @ will-hart.

В документации DRF3

Примечание. Метод has_object_permission на уровне экземпляра будет вызываться только в том случае, если проверки has_permission на уровне представления уже прошли.

Следовательно, для использования has_object_permission необходимо указать has_permission.

from rest_framework import permissions

class MyUserPermissions(permissions.BasePermission):

    def has_permission(self, request, view):
        return True

    def has_object_permission(self, request, view, obj):
        return request.user == obj

Однако приведенный выше код даст разрешение любому, когда пользователь попытается получить список пользователей. В этом случае лучше дать разрешение в соответствии с action, а не HTTP method.

from rest_framework import permissions

def has_permission(self, request, view):
    if request.user.is_superuser:
        return True
    elif view.action == 'retrieve':
        return True
    else:
        return False

def has_object_permission(self, request, view, obj):
    if request.user.is_superuser:
        return True
    elif view.action == 'retrieve':
        return obj == request.user or request.user.is_staff

Это пояснение по поводу переопределения метода has_object_permission (). Возврат False не будет работать должным образом при использовании сложных разрешений. Обратитесь к этой проблеме для получения дополнительных сведений. https://github.com/encode/django-rest-framework/issues/7117