权限六表

image.png

入口

APIView => dispatch => 认证

1、APIView的dispatch
2、dispatch方法内 self.initial(request, *args, **kwargs) 进入三大认证

# 认证组件: 校验用户-游客、合法用户、非法用户
# 游客： 进入下一步校验（权限校验） 
# 合法用户：通过，将用户存储在request.user中，在进入下一步校验 （权限校验）
# 非法用户: 校验失败，抛出异常返回403权限异常结果
self.perform_authentication(request)

# 权限组件: 校验用户权限- 必须登录、所有用户、登录读写游客只读、自定义用户角色
# 权限通过：可以进入下一步（频率认证）
# 权限失败：抛出异常，返回403权限异常
self.check_permissions(request)

# 频率组件：限制视图接口被访问频率次数-限制的条件（用户的ip、用户的唯一键）、频率周期时间、频率次数
# 没有达到限次：正常访问接口
# 达到限次：限制时间内不能访问，限制时间达到后可以访问
self.check_throttles(requets)

self.perform_authentication

request.user => Request user 方法 => _authenticated

self.authenticators 配置一推认证类产生的认证类对象组成的list

1）认证器对象调用认证方法authenticate(认证类对象self, request请求对象)

2）返回值：登录的用户与认证的信息组成的元组

authenticator.authenticate(self)

self.perform_authentication

request.user => Request user 方法 => _authenticated

self.authenticators 配置一推认证类产生的认证类对象组成的list

1）认证器对象调用认证方法authenticate(认证类对象self, request请求对象)

2）返回值：登录的用户与认证的信息组成的元组

authenticator.authenticate(self)

自定义认证类


# 1）继承BaseAuthentication类
# 2) 重写authenticate(self, request)方法，自定义认证规则
# 3） 认证规则基于的条件，
#    没有认证信息返回None(游客)
#    有认证信息返回用户与认证信息元组(合法用户)
# 4） 完成全局(settings文件中)或者局部配置(视图类类属性)
from rest_framework.authentication import  BaseAuthentication
from rest_framework.exceptions import AuthenticationFailed
from . import models


class MyAuthentication(BaseAuthentication):

    def authenticate(self, request):
        # 前台在请求头携带认证信息，且默认规范用Authorization 字段携带认证信息, 后台固定在请求对象的META字典中获取
        auth = request.META.get('HTTP_AUTHORIZATION', None)

        # 处理游客
        if auth is None:
            return None

        # 设置一下 认证字段小规则(两段式): 'auth 认证字符串'
        auth_list = auth.split()

        # 校验合法还是非法用户
        if not len(auth_list) == 2 and auth_list[0].lower() == 'auth':
            raise  AuthenticationFailed('认证信息有误，非法用户')

        # 合法的用户信息还需要从auth_list[1]中解析出来
        # 注：加色一种情况，信息为abc.123.xyz, 就可以解析出admin用户：实际开发，该逻辑一定是校验用户的正常逻辑
        if auth_list[1] != 'abc.123.xyz':
            raise AuthenticationFailed('用户校验失败，非法用户')
        user = models.User.objects.filter(username='admin').first()
        if not user:
            raise AuthenticationFailed('用户信息有误， 非法用户')
        return (user, None)

self.check_permission

入口

权限类一定有一个has_permission(request, self)用来做权限认证

参数: 权限对象self、请求对象request、视图类对象

返回值：有权限返回True,无权限返回False

# 系统权限类

'''
1) AllowAny: 
     has_permission  直接return True
2) IsAuthenticated:
    return bool(request.user and request.user is_authenticated)
     必须有登录的合法用户
3）IsAdminUser:
    return bool(request.user and request.user.is_staff)
     后台管理用户
4) IsAuthenticatedOrReadOnly
    return bool(
        request.method in SAFF_METHODS or               request.user and
        request.user.is_authenticated)
    游客只读，合法用户无限制
'''

自定义权限类

游客只读、登录用户只读，只有登录用户属于管理员分组，才可以增删改

from rest_framework.permissions import BasePermission
from django.contrib.auth.models import Group

class MyPermission(BasePermission):

    def has_permission(self, request, view):
        r1 = request.method in ('GET', 'HEAD', 'OPTIONS')
        group = Group.objects.filter(name='管理员').first()
        groups = request.user.groups.all()
        r2 = group and groups
        r3 = group in groups
        r4 = request.user.groups.filter(name='管理员').exists()
        return r1 or (r2 and r3)

自定义频率组件

check_throttles => get_throttles => allow_request =>

1、遍历配置的频率认证类，初始化得到一个个频率认证类对象 - 会调用频率认证类对象的 init方法

2、频率认类对象调用 allow_request方法，判断是否限次

3、频率认证类对象在限次后，调用wait方法，获取还需等待多长时间可以进行下一次访问

注：频率认证类都是集成SimpleRateThrottle

1、 自定义一个继承SimpleRateThrottle 类的频率类
2、 设置一个scope属性，属性值为任意见名知意的字符串
3、 在settings配置文件中，配置drf的DEFAULT_THROTTLE_RATES，格式为(scope字符串:'次数/时间')
4、 自定义频率类中重写 get_cache_key 方法
    限制对象返回与限制信息有关的字符串
    不限制的对象返回 None
    
from rest_framework.throttling import SimpleRateThrottle


class SMSRateThrottle(SimpleRateThrottle):
    scope = 'sms'

    # 支队提交手机的get方法进行限制
    def get_cache_key(self, request, view):
        mobile = request.query_params.get('mobile')

        if not mobile:
            return None

        return 'throttle_%(scope)s_%(ident)s' % {'scope': self.scope, 'ident': mobile}

django缓存

1）导包 from django.core import cache

添加缓存: cache.set(key, value, exp)
获取缓存: cache.get(key, default_value)