码迷,mamicode.com
首页 > 其他好文 > 详细

django的RBAC认证z;自定义auth_user表;认证组件权限组件源码分析;认证组件;权限组件

时间:2019-10-22 00:37:29      阅读:90      评论:0      收藏:0      [点我收藏+]

标签:用户角色   访问   get   object   unique   认证   发送   settings   obj   

一 RBAC

1.RBAC:全称(Role-Based Access Control);指的是基于用户权限访问控制的认证。

2.Django框架采用的是RBAC认证规则,RBAC认证规则通常会分为:三表规则,五表规则;Django采用的是六表规则。

 

# 三表:用户表、角色表、权限表
# 五表:用户表、角色表、权限表、用户角色关系表、角色权限关系表
# 六表:用户表、角色表、权限表、用户角色关系表、角色权限关系表、用户权限关系表

3.在Django中六表之间是都是多对多的关系,可通过下面字段跨表访问

# 用户表:角色groups,权限user_permissions
(用户表查看与之相关的角色通过groups,查看权限通过user_permission)
# 角色表:用户user_set,权限permissions
# 权限表:用户user_set,角色group_set

示例:自动化脚本测试
# django脚本话启动
import os, django
os.environ.setdefault("DJANGO_SETTINGS_MODULE", "dg_proj.settings")
django.setup()

# 开始测试
from api import models user = models.User.objects.first() # type: models.User # print(user.username) # print(user.groups.first().name) # print(user.user_permissions.first().name) from django.contrib.auth.models import Group group = Group.objects.first() # print(group.name) # print(group.user_set.first().username) # print(group.permissions.first().name) from django.contrib.auth.models import Permission p_16 = Permission.objects.filter(pk=16).first() # print(p_16.user_set.first().username) # p_17 = Permission.objects.filter(pk=17).first() # print(p_17.group_set.first().name)

二 自定义auth_user表及注意点

自定义auth_user表前面学习djangode的 cookie和session已经讲过在此在强调

第一步:在modles.py中编写代码

# 重点:如果自定义User表后,再另一个项目中采用原生User表,完成数据库迁移时,可能失败
# 1)卸载Django重新装
# 2)将django.contrib下面的admin、auth下的数据库迁移记录文件夹(migration)清空,注意(__init__.py不要清空)

# 导入模块
from django.contrib.auth.models import AbstractUser

# 自定义表以User为例:
class User(AbstractUser):
    mobile = models.CharField(max_length=11, unique=True)

    class Meta:
        db_table = api_user
        verbose_name = 用户表
        verbose_name_plural = verbose_name

    def __str__(self):
        return self.username

第二步:在settings.py中配置

# 配置自定义user表:AUTH_USER_MODEL = ‘应用名.自定义类名‘
AUTH_USER_MODEL = api.User

第三步:执行数据库迁移命令

python3 manage.py makemigrations
python3 manage.py migrate

三 认证组件权限组件源码分析

"""
1)APIView的dispath(self, request, *args, **kwargs)
2)dispath方法内 self.initial(request, *args, **kwargs) 进入三大认证
    # 认证组件:校验用户 - 游客、合法用户、非法用户
    # 游客:代表校验通过,直接进入下一步校验(权限校验)
    # 合法用户:代表校验通过,将用户存储在request.user中,再进入下一步校验(权限校验)
    # 非法用户:代表校验失败,抛出异常,返回403权限异常结果
    self.perform_authentication(request)
    
    # 权限组件:校验用户权限 - 必须登录、所有用户、登录读写游客只读、自定义用户角色
    # 认证通过:可以进入下一步校验(频率认证)
    # 认证失败:抛出异常,返回403权限异常结果
    self.check_permissions(request)
    
    # 频率组件:限制视图接口被访问的频率次数 - 限制的条件(IP、id、唯一键)、频率周期时间(s、m、h)、频率的次数(3/s)
    # 没有达到限次:正常访问接口
    # 达到限次:限制时间内不能访问,限制时间达到后,可以重新访问
    self.check_throttles(request)
    
    
3) 认证组件
    Request类的 方法属性 user 的get方法 => self._authenticate() 完成认证
    
    认证的细则:
    # 做认证
    def _authenticate(self):
        # 遍历拿到一个个认证器,进行认证
        # self.authenticators配置的一堆认证类产生的认证类对象组成的 list
        for authenticator in self.authenticators:
            try:
                # 认证器(对象)调用认证方法authenticate(认证类对象self, request请求对象)
                # 返回值:登陆的用户与认证的信息组成的 tuple
                # 该方法被try包裹,代表该方法会抛异常,抛异常就代表认证失败
                user_auth_tuple = authenticator.authenticate(self)
            except exceptions.APIException:
                self._not_authenticated()
                raise

            # 返回值的处理
            if user_auth_tuple is not None:
                self._authenticator = authenticator
                # 如何有返回值,就将 登陆用户 与 登陆认证 分别保存到 request.user、request.auth
                self.user, self.auth = user_auth_tuple
                return
        # 如果返回值user_auth_tuple为空,代表认证通过,但是没有 登陆用户 与 登陆认证信息,代表游客
        self._not_authenticated()

4) 权限组件
    self.check_permissions(request)
    认证细则:
    def check_permissions(self, request):
        # 遍历权限对象列表得到一个个权限对象(权限器),进行权限认证
        for permission in self.get_permissions():
            # 权限类一定有一个has_permission权限方法,用来做权限认证的
            # 参数:权限对象self、请求对象request、视图类对象
            # 返回值:有权限返回True,无权限返回False
            if not permission.has_permission(request, self):
                self.permission_denied(
                    request, message=getattr(permission, ‘message‘, None)
                )
"""

四  认证组件

自定义认证类

"""
1) 创建继承BaseAuthentication的认证类
2) 实现authenticate方法
3) 实现体根据认证规则 确定游客、非法用户、合法用户
4) 进行全局或局部配置

认证规则
i.没有认证信息返回None(游客)
ii.有认证信息认证失败抛异常(非法用户)
iii.有认证信息认证成功返回用户与认证信息元组(合法用户)
"""

第一步:应用文件夹下建立authentications.py文件(也可以在其他文件夹下建立如utils文件夹);编写代码

# 自定义认证类

# 1)继承BaseAuthentication类
# 2)重新authenticate(self, request)方法,自定义认证规则
# 3)认证规则基于的条件:
#       没有认证信息返回None(游客)
#       有认证信息认证失败抛异常(非法用户)
#       有认证信息认证成功返回用户与认证信息元组(合法用户)
# 4)完全视图类的全局(settings文件中)或局部(确切的视图类)配置
from rest_framework.authentication import BaseAuthentication
from rest_framework.exceptions import AuthenticationFailed
from . import models

class MyAuthentication(BaseAuthentication):
    def authenticate(self, request):
        # 前台在请求头携带认证信息,
        #       且默认规范用 Authorization 字段携带认证信息,
        #       后台固定在请求对象的META字段中 HTTP_AUTHORIZATION 获取
        auth = request.META.get(HTTP_AUTHORIZATION, None)

        # 处理游客
        if auth is None:
            return None

        # 设置一下认证字段小规则(两段式):"auth 认证字符串"
        auth_list = auth.split()

        # 校验合法还是非法用户
        if not (len(auth_list) == 2 and auth_list[0].lower() == auth):
            raise AuthenticationFailed(认证信息有误,非法用户)

        # 合法的用户还需要从auth_list[1]中解析出来
        # 注:假设一种情况,信息为abc.123.xyz,就可以解析出admin用户;实际开发,该逻辑一定是校验用户的正常逻辑
        if auth_list[1] != abc.123.xyz:  # 校验失败
            raise AuthenticationFailed(用户校验失败,非法用户)

        user = models.User.objects.filter(username=admin).first()

        if not user:
            raise AuthenticationFailed(用户数据有误,非法用户)
        return (user, None)


# 登录:账号密码 => token(账号密码对应的用户)
# 访问需要登录的接口:携带token发送请求 => 校验token,得到用户

第二步:settings.py全局配置

# drf配置
REST_FRAMEWORK = {
   
    # 认证类配置
    DEFAULT_AUTHENTICATION_CLASSES: [
        # ‘rest_framework.authentication.SessionAuthentication‘,
        # ‘rest_framework.authentication.BasicAuthentication‘,
        # 全局使用自定义认证类注意路径拼写:应用名.文件名.自定义类名
        api.authentications.MyAuthentication,
    ],
   
}

五 权限组件

 

 

 



 

  


 

django的RBAC认证z;自定义auth_user表;认证组件权限组件源码分析;认证组件;权限组件

标签:用户角色   访问   get   object   unique   认证   发送   settings   obj   

原文地址:https://www.cnblogs.com/tfzz/p/11717319.html

(0)
(0)
   
举报
评论 一句话评论(0
登录后才能评论!
© 2014 mamicode.com 版权所有  联系我们:gaon5@hotmail.com
迷上了代码!