Django权限系统:auth

auth模块是Django提供的标准权限管理系统,可以提供用户身份认证, 用户组和权限管理。

auth可以和admin模块配合使用, 快速建立网站的管理系统。

在INSTALLED_APPS中添加‘django.contrib.auth‘使用该APP, auth模块默认启用.

User

User是auth模块中维护用户信息的关系模式(继承了models.Model), 数据库中该表被命名为auth_user.

User表的SQL描述:

CREATE TABLE "auth_user" (
    "id" integer NOT NULL PRIMARY KEY AUTOINCREMENT,
    "password" varchar(128) NOT NULL, "last_login" datetime NULL,
    "is_superuser" bool NOT NULL,
    "first_name" varchar(30) NOT NULL,
    "last_name" varchar(30) NOT NULL,
    "email" varchar(254) NOT NULL,
    "is_staff" bool NOT NULL,
    "is_active" bool NOT NULL,
    "date_joined" datetime NOT NULL,
    "username" varchar(30) NOT NULL UNIQUE
)

auth模块提供了很多API管理用户信息, 在必要的时候我们可以导入User表进行操作, 比如其它表需要与User建立关联时.

from django.contrib.auth.models import User

新建用户

user = User.objects.create_user(username, email, password)

建立user对象

user.save()

需要调用save()方法新用户才会写入数据库

auth模块不存储用户密码明文而是存储一个Hash值, 比如迭代使用Md5算法.

认证用户

先导入函数

from django.contrib.auth import authenticate

使用关键字参数传递账户和凭据:

user = authenticate(username=username, password=password)

认证用户的密码是否有效, 若有效则返回代表该用户的user对象, 若无效则返回None.

该方法不检查is_active标志位.

修改密码

修改密码是User的实例方法, 该方法不验证用户身份:

user.set_password(new_password)

通常该方法需要和authenticate配合使用:

user = auth.authenticate(username=username, password=old_password)
if user is not None:
    user.set_password(new_password)
    user.save()

登录

首先import:

from django.contrib.auth import login

login向session中添加SESSION_KEY, 便于对用户进行跟踪:

‘login(request, user)‘

login不进行认证,也不检查is_active标志位, 一般和authenticate配合使用:

user = authenticate(username=username, password=password)
if user is not None:
    if user.is_active:
        login(request, user)

auth/__init__.py中可以看到login的源代码.

退出登录

logout会移除request中的user信息, 并刷新session:

from django.contrib.auth import logout

def logout_view(request):
    logout(request)

只允许登录的用户访问

@login_required修饰器修饰的view函数会先通过session key检查是否登录, 已登录用户可以正常的执行操作, 未登录用户将被重定向到login_url指定的位置.

若未指定login_url参数, 则重定向到settings.LOGIN_URL

from django.contrib.auth.decorators import login_required

@login_required(login_url=‘/accounts/login/‘)
def my_view(request):
    ...

Group

django.contrib.auth.models.Group定义了用户组的模型, 每个用户组拥有id和name两个字段, 该模型在数据库被映射为auth_group数据表。

User对象中有一个名为groups的多对多字段, 多对多关系由auth_user_groups数据表维护。Group对象可以通过user_set反向查询用户组中的用户。

我们可以通过创建删除Group对象来添加或删除用户组。

# add
group = Group.objects.create(name=group_name)
group.save()
# del
group.delete()

我们可以通过标准的多对多字段操作管理用户与用户组的关系:

  • 用户加入用户组user.groups.add(group)group.user_set.add(user)
  • 用户退出用户组user.groups.remove(group)group.user_set.remove(user)
  • 用户退出所有用户组user.groups.clear()
  • 用户组中所有用户退出组group.user_set.clear()

Permission

Django的auth系统提供了模型级的权限控制, 即可以检查用户是否对某个数据表拥有增(add), 改(change), 删(delete)权限。

auth系统无法提供对象级的权限控制, 即检查用户是否对数据表中某条记录拥有增改删的权限。如果需要对象级权限控制可以使用django-guardian.

假设在博客系统中有一张article数据表管理博文, auth可以检查某个用户是否拥有对所有博文的管理权限, 但无法检查用户对某一篇博文是否拥有管理权限。

检查用户权限

user.has_perm方法用于检查用户是否拥有操作某个模型的权限:

user.has_perm(‘blog.add_article‘)
user.has_perm(‘blog.change_article‘)
user.has_perm(‘blog.delete_article‘)

上述语句检查用户是否拥有blog这个app中article模型的添加权限, 若拥有权限则返回True。

has_perm仅是进行权限检查, 即是用户没有权限它也不会阻止程序员执行相关操作。

permission_required修饰器可以代替has_perm并在用户没有相应权限时重定向到登录页或者抛出异常。

# permission_required(perm[, login_url=None, raise_exception=False])

@permission_required(‘blog.add_article‘)
def post_article(request):
    pass

每个模型默认拥有增(add), 改(change), 删(delete)权限。在django.contrib.auth.models.Permission模型中保存了项目中所有权限。

该模型在数据库中被保存为auth_permission数据表。每条权限拥有id ,name , content_type_id, codename四个字段。

管理用户权限

User和Permission通过多对多字段user.user_permissions关联,在数据库中由auth_user_user_permissions数据表维护。

  • 添加权限: user.user_permissions.add(permission)
  • 删除权限: user.user_permissions.delete(permission)
  • 清空权限: user.user_permissions.clear()

用户拥有他所在用户组的权限, 使用用户组管理权限是一个更方便的方法。Group中包含多对多字段permissions, 在数据库中由auth_group_permissions数据表维护。

  • 添加权限: group.permissions.add(permission)
  • 删除权限: group.permissions.delete(permission)
  • 清空权限: group.permissions.clear()

自定义权限

在定义Model时可以使用Meta自定义权限:

class Discussion(models.Model):
  ...
  class Meta:
      permissions = (
          ("create_discussion", "Can create a discussion"),
          ("reply_discussion", "Can reply discussion"),
      )

判断用户是否拥有自定义权限:

user.has_perm(‘blog.create_discussion‘)

原文地址:https://www.cnblogs.com/wangyuxing/p/8982026.html

时间: 2024-10-31 10:09:35

Django权限系统:auth的相关文章

Django认证系统--Auth模块

Django自带的用户认证 我们在开发一个网站的时候,无可避免的需要设计实现网站的用户系统.此时我们需要实现包括用户注册.用户登录.用户认证.注销.修改密码等功能,这还真是个麻烦的事情呢. Django作为一个完美主义者的终极框架,当然也会想到用户的这些痛点.它内置了强大的用户认证系统--auth,它默认使用 auth_user 表来存储用户数据. 举个例子: 用session写一个登陆 会比较麻烦 urls.py from django.contrib import admin from dj

django(权限、认证)系统—— 基于Authentication backends定制

在这篇文章中,我们进行最后关于DjangoPermission系统的探讨,来谈谈关于Permission系统后台接口和扩展后台接口的开发. Django实现的这套permission体系,在底层被抽象为authentication backends.Django auth backends的默认的内置的实现,就是我们前4篇blog所描述的,基于三个数据库模型User,Permission,Group.在实际开发中,很有可能我们的用户标示或者是密码并非存在于User表中,比如说存放在LDAP中,再

Django之cookie,session,认证系统auth

COOKIE 与 SESSION 概念 cookie不属于http协议范围,由于http协议无法保持状态,但实际情况,我们却又需要“保持状态”,因此cookie就是在这样一个场景下诞生. cookie的工作原理是:由服务器产生内容,浏览器收到请求后保存在本地:当浏览器再次访问时,浏览器会自动带上cookie,这样服务器就能通过cookie的内容来判断这个是“谁”了. cookie虽然在一定程度上解决了“保持状态”的需求,但是由于cookie本身最大支持4096字节,以及cookie本身保存在客户

Django源码分析之权限系统_擒贼先擒王

乍见 Django内置的权限系统已经很完善了,加上django-guardian提供的功能,基本上能满足大部分的权限需求.暂且不说django-guardian,我们先来看下Django内置的权限系统:django.contrib.auth 包. 相识 一般权限系统分为全局权限和对象权限.Django只提供了一个对象权限的框架,具体实现由第三方库django-gardian完成.我们只看全局权限. 先来看auth包暴露出哪些接口. django.contrib.auth.__init__.py

『Django』第N+1节 Django自带的认证系统 - auth

个人网站: lipeiguan.top 以后会慢慢转移到个人网站, 欢迎大家收藏^ . ^ 写在前面 我们在开发一个网站的时候, 经常需要实现网站的用户系统. 这个时候我们需要实现用户注册.用户登录.用户认证.注销.修改密码等一系列功能. 如果我们都是自己实现的话, 不是不可以, 只是有些浪费时间. 而Django则内置了一个用户认证系统 --> auth, 它默认使用 auth_user表来储存用户的数据. 那么接下来就来了解一下这个强大的用户认证系统. auth模块 导入auth 要使用这个

django认证系统

Django认证系统同时处理认证和授权.简单地讲,认证验证一个用户是否它们声称的那个人,授权决定一个通过了认证的用户被允许做什么.这里的词语"认证"同时指代这两项任务. 认证系统包含: 用户 权限:二元(是/否)标志指示一个用户是否可以做一个特定的任务. 组:对多个用户运用标签和权限的一种通用的方式. 一个可配置的密码哈希系统 用于登录用户或限制内容的表单和视图 一个可插拔的后台系统 使用: 位于django.contrib.auth,配置在settings.py中的 INSTALLE

django权限机制

1. Django权限机制概述 权限机制能够约束用户行为,控制页面的显示内容,也能使API更加安全和灵活:用好权限机制,能让系统更加强大和健壮.因此,基于Django的开发,理清Django权限机制是非常必要的. 1.1 Django的权限控制 Django用user, group和permission完成了权限机制,这个权限机制是将属于model的某个permission赋予user或group,可以理解为全局 的权限,即如果用户A对数据模型(model)B有可写权限,那么A能修改model

[Python学习] Django 权限控制

本文为大家讲解 Django 框架里自带的权限模型,从理论到实战演练,带领大家了解 Django 里权限是怎么一回事. 主要内容 什么是权限管理? Web 权限 Django 权限机制 Django 的权限项 权限应用 Permission(一) Permission(二) User Permission 管理(一) User Permission 管理(二) Group Permission 管理 权限验证(一) 权限验证(二) 权限验证(三) 权限验证(四) 什么是权限管理 权限管理,一般指

django 权限机制

1. Django权限机制概述 权限机制能够约束用户行为,控制页面的显示内容,也能使API更加安全和灵活:用好权限机制,能让系统更加强大和健壮.因此,基于Django的开发,理清Django权限机制是非常必要的. 1.1 Django的权限控制 Django用user, group和permission完成了权限机制,这个权限机制是将属于model的某个permission赋予user或group,可以理解为全局的权限,即如果用户A对数据模型(model)B有可写权限,那么A能修改model B