Добавление разрешений для объекта для администратора django

Ответ 1

Я бы просто добавил метод для каждой модели is_owned_by(user), и это зависит от модели, чтобы решить, принадлежит ли она этому пользователю или нет. В большинстве случаев is_owned_by может быть общей функцией в базовом классе модели, и вы можете настроить его в особых случаях. например.

class RentalPhoto(BaseModel):
    def is_owned_by(self, user):
        return self.rental.is_owned_by(user)

Это достаточно общий и явный, вы будете иметь полный контроль над тем, как они себя ведут.

Чтобы добавить новое разрешение, вы можете добавить это к своим моделям, например.

class Rental(models.Model):
    # ...
    class Meta:
        permissions = (
            ("can_edit_any", "Can edit any rentals"),
        )

Я думаю, вместо добавления двух разрешений для any и own вы должны добавить только разрешение own, поэтому у каждого объекта уже есть can_edit, который вы можете рассматривать, поскольку пользователь может редактировать только свой объект, и если у пользователя есть разрешение can_edit_any, чем только ему разрешено редактировать все

Используя это, мы можем расширить auth, добавив пользовательский бэкэнд, например.

class PerObjectBackend(ModelBackend):

    def has_perm(self, user_obj, perm, obj=None):
        allowed = ModelBackend.has_perm(self, user_obj, perm)
        if perm.find('any') >=0 :
            return allowed

        if perm.find('edit') >=0 or perm.find('delete') >=0:
            if obj is None:
                raise Exception("Perm '%s' needs an object"%perm)
            if not obj.is_owned_by(user_obj):
                return False

        return allowed

Это очень быстрая реализация, на самом деле вы можете расширить объекты разрешений, чтобы проверить, нужны ли они и какие объекты или нет. permission.is_per_object вместо того, чтобы выполнять грубый поиск строки, но это также должно работать, если у вас есть стандартные имена

Ответ 2

Можно ли это решить с помощью некоторых обманщиков в рамки, следуя за ForeignKeys пока объект не будет найден с ForeignKey для пользователя?

Я не вижу, где есть сложность: RentalPhoto → Аренда → Пользователь Таким образом, чтобы получить пользователя для конкретного RentalPhoto, вы вызываете что-то вроде этого в экземпляре:

photo.rental.user

После нескольких отношений за один шаг можно считать неинтеллектуальным.

Ответ 3

Если вы не хотите реализовывать свой собственный сервер разрешений, я рекомендую вам использовать https://github.com/chrisglass/django-rulez. Вы будете делать то, что хотите в намного проще.

Ответ 4

В Django docs.

В основном вы создаете собственный класс администратора для своей модели и определяете метод get_queryset. В вашем случае это может быть что-то вроде ниже. Суперпользователь увидит все арендные платы, а владелец только его.

class RentalAdmin(admin.ModelAdmin):
    def get_queryset(self, request):
        qs = super(RentalAdmin, self).get_queryset(request)
        if request.user.is_superuser:
            return qs
        return qs.filter(owner=request.user)

Вот еще одно возможное руководство: https://code.djangoproject.com/wiki/RowLevelPermissions