155 lines
7.6 KiB
Python
155 lines
7.6 KiB
Python
# +======================================================================
|
|
# | DjangoAdmin 企业数字化开发平台 [ 赋能开发者，助力企业发展 ]
|
|
# +----------------------------------------------------------------------
|
|
# | Copyright (c) 2021-2026 小蚂蚁云团队 版权所有
|
|
# +----------------------------------------------------------------------
|
|
# | 开源协议: Apache-2.0
|
|
# | 重要声明: 未经书面许可，不得移除或修改本框架相关版权标识。
|
|
# +----------------------------------------------------------------------
|
|
# | 官方网站: https://www.djangoadmin.cn
|
|
# +----------------------------------------------------------------------
|
|
# | 研发团队: 小蚂蚁云团队 荣誉出品
|
|
# +======================================================================
|
|
# | 版权和免责声明:
|
|
# | 一、知识产权声明
|
|
# | 本团队对该软件框架产品（以下简称“本产品”）拥有完整知识产权，包括但不限于商标权、专利权、
|
|
# | 著作权、商业秘密等。前述权利均受中华人民共和国及相关国际法律法规保护。未经本团队书面授权，
|
|
# | 任何个人或单位不得基于本产品本身申请任何形式的知识产权。
|
|
# | 二、使用限制与禁止条款
|
|
# | 您理解并同意，禁止将本产品用于以下任何行为：
|
|
# | 1. 任何违反中华人民共和国法律法规的用途；
|
|
# | 2. 任何侵害他人合法权益（包括但不限于人身权、财产权、知识产权等）的行为；
|
|
# | 3. 任何危害国家安全、公共利益及社会道德风尚的行为。
|
|
# | 三、责任豁免
|
|
# | 因使用本产品而产生的任何损失或法律纠纷（包括但不限于直接损失、间接损失、附带损失、衍生损失
|
|
# | 以及因违约、侵权等引发的责任），本团队均不承担任何法律责任。若因违规使用本产品导致任何第三
|
|
# | 方提起索赔或行政机关进行调查，您应独立承担全部责任。
|
|
# | 四、违约与法律责任
|
|
# | 如发现任何违反本声明的行为，本团队有权：
|
|
# | 1. 无条件配合公安机关及其他有权机关的调查取证工作；
|
|
# | 2. 依法追究相关方的民事责任，并要求赔偿全部损失；
|
|
# | 3. 保留进一步采取刑事控告等法律措施的权利。
|
|
# | 五、许可范围说明
|
|
# | 1、被授权方应视本产品源代码为核心机密信息，负有最高标准的保密与保管义务。禁止以任何形式（包
|
|
# | 括但不限于直接或间接的分享、复制、传播、分发、转售、出租、开源、反向工程、反编译、反汇编或通
|
|
# | 过网络服务提供给任何第三方）泄露、披露或处置源代码的全部或部分内容。任何未经授权的复制、使用、
|
|
# | 传播行为均构成对本团队知识产权的严重侵权，本团队有权依法追究其全部法律责任，并要求赔偿因此造
|
|
# | 成的一切经济损失及商誉损害。
|
|
# | 2、本产品仅限于公司或个人在法律允许范围内，用于内部且合规的软件产品研发。具体权利义务以《软件
|
|
# | 许可协议》附件为准。
|
|
# +======================================================================
|
|
|
|
"""
|
|
权限控制混入类模块
|
|
=============================================================
|
|
|
|
该模块提供基于Django PermissionRequiredMixin的自定义权限控制类。
|
|
用于在基于类的视图中实现细粒度的操作权限控制，通过检查用户是否拥有
|
|
所需的权限节点来决定是否允许访问特定视图。支持超级管理员（ID为1）
|
|
自动放行机制，简化权限管理。
|
|
|
|
主要功能：
|
|
1. 继承Django内置的PermissionRequiredMixin
|
|
2. 重写has_permission方法实现自定义权限验证逻辑
|
|
3. 提供用户权限节点查询和比对功能
|
|
4. 自定义无权限时的响应处理
|
|
|
|
所属包： application.user
|
|
所在文件： application/user/mixins/permission_mixin.py
|
|
依赖模块： application.menu.services - 获取用户权限节点服务
|
|
utils.utils.uid - 获取当前用户ID工具
|
|
utils.R - 统一响应工具
|
|
"""
|
|
|
|
from django.contrib.auth.mixins import PermissionRequiredMixin
|
|
|
|
from utils import R
|
|
from utils.security import get_user_id
|
|
|
|
|
|
# 鉴权中间件
|
|
class PermissionRequired(PermissionRequiredMixin):
|
|
"""
|
|
自定义权限控制混入类
|
|
=============================================================
|
|
|
|
该类扩展了Django的PermissionRequiredMixin，实现了基于权限节点的
|
|
细粒度访问控制。通过重写权限验证方法，支持从服务层获取用户权限列表，
|
|
并进行精确比对。特别处理了超级管理员（ID=1）的权限豁免逻辑。
|
|
|
|
使用示例:
|
|
class UserListView(PermissionRequired, View):
|
|
permission_required = 'user:list'
|
|
def get(self, request):
|
|
# 只有拥有'user:list'权限的用户才能访问
|
|
return render(...)
|
|
"""
|
|
|
|
def has_permission(self):
|
|
"""
|
|
检查用户是否拥有所需权限
|
|
=============================================================
|
|
|
|
重写父类的has_permission方法，实现自定义权限验证逻辑。
|
|
通过对比用户拥有的权限节点和访问所需权限节点，决定是否放行。
|
|
用户ID为1的超级管理员自动获得所有权限。
|
|
|
|
返回:
|
|
bool: True - 有权限，允许访问
|
|
False - 无权限，拒绝访问
|
|
|
|
处理流程:
|
|
1. 获取当前视图所需的权限节点列表
|
|
2. 获取当前登录用户ID
|
|
3. 如果是超级管理员(ID=1)，直接放行
|
|
4. 否则获取用户的实际权限节点列表
|
|
5. 比对所需权限是否在用户权限列表中
|
|
"""
|
|
# 获取方法节点权限标识
|
|
# 类型：list
|
|
# 说明：通过permission_required属性设置的权限节点列表
|
|
permissions = self.get_permission_required()
|
|
|
|
# 用户ID
|
|
# 函数：get_user_id(request)
|
|
# 说明：从请求中解析当前登录用户的ID
|
|
user_id = get_user_id(self.request)
|
|
|
|
# 超级管理员自动放行
|
|
# 说明：ID为1的用户视为超级管理员，拥有所有操作权限
|
|
if user_id and user_id != 1:
|
|
# 延迟导入 - 只在需要时才导入
|
|
from application.menu import services
|
|
# 获取用户权限节点
|
|
# 函数：get_user_permissions(user_id)
|
|
# 说明：从菜单服务中获取指定用户拥有的所有权限节点列表
|
|
permission_list = services.get_user_permissions(user_id)
|
|
|
|
# 遍历所需权限列表
|
|
for permission in permissions:
|
|
# 检查每个所需权限是否在用户权限列表中
|
|
if permission not in permission_list:
|
|
# 无节点权限，禁止放行
|
|
# 说明：只要有一个所需权限缺失，就拒绝访问
|
|
return False
|
|
|
|
# 直接放行
|
|
# 说明：所有权限检查通过，允许访问
|
|
return True
|
|
|
|
# 没有权限时候的报错回调
|
|
def handle_no_permission(self):
|
|
"""
|
|
无权限访问时的处理函数
|
|
=============================================================
|
|
|
|
当has_permission()返回False时，Django会自动调用此方法。
|
|
重写此方法以返回统一的JSON格式无权限响应。
|
|
|
|
返回:
|
|
R对象: 包含错误码和提示信息的统一响应对象
|
|
状态码: 401 Unauthorized
|
|
提示信息: "暂无操作权限"
|
|
"""
|
|
return R.failed("暂无操作权限", 401)
|