From 91842b18a644a6b67cb3f0db7c4e7ae60abe349a Mon Sep 17 00:00:00 2001
From: =?UTF-8?q?=E5=B0=8F=E8=9A=82=E8=9A=81=E4=BA=91?=
 <xiaomayicloud@163.com>
Date: Sat, 12 Sep 2026 10:40:32 +0800
Subject: [PATCH] =?UTF-8?q?=E6=9B=B4=E6=96=B0?=
MIME-Version: 1.0
Content-Type: text/plain; charset=UTF-8
Content-Transfer-Encoding: 8bit

---
 middleware/.gitignore               |   2 -
 middleware/login_middleware.py      | 151 +++++++++++++++++++++++++++
 middleware/permission_middleware.py | 154 ++++++++++++++++++++++++++++
 3 files changed, 305 insertions(+), 2 deletions(-)
 delete mode 100644 middleware/.gitignore
 create mode 100644 middleware/login_middleware.py
 create mode 100644 middleware/permission_middleware.py

diff --git a/middleware/.gitignore b/middleware/.gitignore
deleted file mode 100644
index c96a04f..0000000
--- a/middleware/.gitignore
+++ /dev/null
@@ -1,2 +0,0 @@
-*
-!.gitignore
\ No newline at end of file
diff --git a/middleware/login_middleware.py b/middleware/login_middleware.py
new file mode 100644
index 0000000..5731b18
--- /dev/null
+++ b/middleware/login_middleware.py
@@ -0,0 +1,151 @@
+# +======================================================================
+# | DjangoAdmin 企业数字化开发平台 [ 赋能开发者，助力企业发展 ]
+# +----------------------------------------------------------------------
+# | Copyright (c) 2021-2026 小蚂蚁云团队 版权所有
+# +----------------------------------------------------------------------
+# | 开源协议: Apache-2.0
+# | 重要声明: 未经书面许可，不得移除或修改本框架相关版权标识。
+# +----------------------------------------------------------------------
+# | 官方网站: https://www.djangoadmin.cn
+# +----------------------------------------------------------------------
+# | 研发团队: 小蚂蚁云团队 荣誉出品
+# +======================================================================
+# | 版权和免责声明:
+# | 一、知识产权声明
+# | 本团队对该软件框架产品（以下简称“本产品”）拥有完整知识产权，包括但不限于商标权、专利权、
+# | 著作权、商业秘密等。前述权利均受中华人民共和国及相关国际法律法规保护。未经本团队书面授权，
+# | 任何个人或单位不得基于本产品本身申请任何形式的知识产权。
+# | 二、使用限制与禁止条款
+# | 您理解并同意，禁止将本产品用于以下任何行为：
+# | 1. 任何违反中华人民共和国法律法规的用途；
+# | 2. 任何侵害他人合法权益（包括但不限于人身权、财产权、知识产权等）的行为；
+# | 3. 任何危害国家安全、公共利益及社会道德风尚的行为。
+# | 三、责任豁免
+# | 因使用本产品而产生的任何损失或法律纠纷（包括但不限于直接损失、间接损失、附带损失、衍生损失
+# | 以及因违约、侵权等引发的责任），本团队均不承担任何法律责任。若因违规使用本产品导致任何第三
+# | 方提起索赔或行政机关进行调查，您应独立承担全部责任。
+# | 四、违约与法律责任
+# | 如发现任何违反本声明的行为，本团队有权：
+# | 1. 无条件配合公安机关及其他有权机关的调查取证工作；
+# | 2. 依法追究相关方的民事责任，并要求赔偿全部损失；
+# | 3. 保留进一步采取刑事控告等法律措施的权利。
+# | 五、许可范围说明
+# | 1、被授权方应视本产品源代码为核心机密信息，负有最高标准的保密与保管义务。禁止以任何形式（包
+# | 括但不限于直接或间接的分享、复制、传播、分发、转售、出租、开源、反向工程、反编译、反汇编或通
+# | 过网络服务提供给任何第三方）泄露、披露或处置源代码的全部或部分内容。任何未经授权的复制、使用、
+# | 传播行为均构成对本团队知识产权的严重侵权，本团队有权依法追究其全部法律责任，并要求赔偿因此造
+# | 成的一切经济损失及商誉损害。
+# | 2、本产品仅限于公司或个人在法律允许范围内，用于内部且合规的软件产品研发。具体权利义务以《软件
+# | 许可协议》附件为准。
+# +======================================================================
+
+"""
+用户登录认证装饰器模块
+=============================================================
+
+该模块提供了基于JWT的用户登录状态验证装饰器。
+用于保护需要登录才能访问的视图函数，自动验证请求中的JWT token有效性。
+通过检查Authorization请求头中的token，确保只有已登录用户才能访问受保护的接口。
+
+主要功能：
+1. 定义需要忽略认证的URL列表（如登录、验证码等）
+2. 从请求头中提取JWT token
+3. 解析验证token的有效性
+4. 返回统一的认证失败响应
+
+所属包： application.user
+所在文件： application/user/decorators/auth_decorator.py
+依赖模块： utils.jwt - JWT解析工具
+         utils.R - 统一响应工具
+"""
+
+from django.shortcuts import redirect
+
+# 检测是否已登录
+from utils import R
+from utils.jwt import parse_payload
+
+
+def check_login(func):
+    """
+    JWT登录认证装饰器
+    =============================================================
+
+    该装饰器用于验证用户登录状态，保护需要认证的视图函数。
+    自动从请求头中获取JWT token，验证其有效性，并处理各种认证失败情况。
+
+    参数:
+        func (function): 被装饰的视图函数
+
+    返回:
+        function: 包装后的视图函数，包含认证逻辑
+
+    使用示例:
+        @check_login
+        def user_info(request):
+            # 只有已登录用户才能访问
+            return R.ok(data=user_data)
+    """
+
+    # 定义装饰器内部包装函数
+    def wrapper(request, *args, **kwargs):
+        """
+        装饰器包装函数
+        =============================================================
+
+        在视图函数执行前进行登录认证检查。
+
+        参数:
+            request: Django请求对象
+            *args: 可变位置参数
+            **kwargs: 可变关键字参数
+
+        返回:
+            如果认证通过: 执行原视图函数
+            如果认证失败: 返回统一的认证失败响应
+        """
+
+        # 在视图函数执行前做额外的操作
+
+        # 登录检测
+        # 自定义忽略URL数组
+        # 类型：list
+        # 说明：不需要进行登录验证的URL列表，如登录页、验证码获取等公开接口
+        ignoreURL = ['/login', '/captcha']
+
+        # 判断当前请求是否需要验证登录
+        if request.path not in ignoreURL:
+            # 从请求头中获取token值
+            # 说明：从Authorization头中获取JWT token，格式为"Bearer <token>"
+            access_token = request.headers['Authorization']
+
+            # 字符串替换
+            # 说明：移除"Bearer "前缀，获取纯净的token字符串
+            access_token = access_token.replace('Bearer ', "")
+
+            # JWT解密
+            # 函数：parse_payload(access_token)
+            # 说明：解析JWT token，验证签名和有效期，返回解析结果
+            # 返回格式：{'code': 0(成功)/其他(失败), 'msg': '提示信息', 'data': {...}}
+            result = parse_payload(access_token)
+
+            # 结果标识
+            # 说明：code为0表示token验证通过，非0表示验证失败
+            code = result['code']
+
+            # token验证失败处理
+            if code != 0:
+                # 返回统一的认证失败响应
+                # 状态码：401 Unauthorized
+                # 说明：token过期、无效或签名错误时返回
+                return R.failed(code=401, msg=result['msg'])
+
+            # 此处可获取用户ID等用户信息
+            # userId = result['data']['userId']
+
+        # 一切正常，返回该返回的
+        # 说明：认证通过或请求在忽略列表中，继续执行原视图函数
+        return func(request, *args, **kwargs)
+
+    # 返回装饰后的函数对象
+    return wrapper
diff --git a/middleware/permission_middleware.py b/middleware/permission_middleware.py
new file mode 100644
index 0000000..2b35afd
--- /dev/null
+++ b/middleware/permission_middleware.py
@@ -0,0 +1,154 @@
+# +======================================================================
+# | DjangoAdmin 企业数字化开发平台 [ 赋能开发者，助力企业发展 ]
+# +----------------------------------------------------------------------
+# | Copyright (c) 2021-2026 小蚂蚁云团队 版权所有
+# +----------------------------------------------------------------------
+# | 开源协议: Apache-2.0
+# | 重要声明: 未经书面许可，不得移除或修改本框架相关版权标识。
+# +----------------------------------------------------------------------
+# | 官方网站: https://www.djangoadmin.cn
+# +----------------------------------------------------------------------
+# | 研发团队: 小蚂蚁云团队 荣誉出品
+# +======================================================================
+# | 版权和免责声明:
+# | 一、知识产权声明
+# | 本团队对该软件框架产品（以下简称“本产品”）拥有完整知识产权，包括但不限于商标权、专利权、
+# | 著作权、商业秘密等。前述权利均受中华人民共和国及相关国际法律法规保护。未经本团队书面授权，
+# | 任何个人或单位不得基于本产品本身申请任何形式的知识产权。
+# | 二、使用限制与禁止条款
+# | 您理解并同意，禁止将本产品用于以下任何行为：
+# | 1. 任何违反中华人民共和国法律法规的用途；
+# | 2. 任何侵害他人合法权益（包括但不限于人身权、财产权、知识产权等）的行为；
+# | 3. 任何危害国家安全、公共利益及社会道德风尚的行为。
+# | 三、责任豁免
+# | 因使用本产品而产生的任何损失或法律纠纷（包括但不限于直接损失、间接损失、附带损失、衍生损失
+# | 以及因违约、侵权等引发的责任），本团队均不承担任何法律责任。若因违规使用本产品导致任何第三
+# | 方提起索赔或行政机关进行调查，您应独立承担全部责任。
+# | 四、违约与法律责任
+# | 如发现任何违反本声明的行为，本团队有权：
+# | 1. 无条件配合公安机关及其他有权机关的调查取证工作；
+# | 2. 依法追究相关方的民事责任，并要求赔偿全部损失；
+# | 3. 保留进一步采取刑事控告等法律措施的权利。
+# | 五、许可范围说明
+# | 1、被授权方应视本产品源代码为核心机密信息，负有最高标准的保密与保管义务。禁止以任何形式（包
+# | 括但不限于直接或间接的分享、复制、传播、分发、转售、出租、开源、反向工程、反编译、反汇编或通
+# | 过网络服务提供给任何第三方）泄露、披露或处置源代码的全部或部分内容。任何未经授权的复制、使用、
+# | 传播行为均构成对本团队知识产权的严重侵权，本团队有权依法追究其全部法律责任，并要求赔偿因此造
+# | 成的一切经济损失及商誉损害。
+# | 2、本产品仅限于公司或个人在法律允许范围内，用于内部且合规的软件产品研发。具体权利义务以《软件
+# | 许可协议》附件为准。
+# +======================================================================
+
+"""
+权限控制混入类模块
+=============================================================
+
+该模块提供基于Django PermissionRequiredMixin的自定义权限控制类。
+用于在基于类的视图中实现细粒度的操作权限控制，通过检查用户是否拥有
+所需的权限节点来决定是否允许访问特定视图。支持超级管理员（ID为1）
+自动放行机制，简化权限管理。
+
+主要功能：
+1. 继承Django内置的PermissionRequiredMixin
+2. 重写has_permission方法实现自定义权限验证逻辑
+3. 提供用户权限节点查询和比对功能
+4. 自定义无权限时的响应处理
+
+所属包： application.user
+所在文件： application/user/mixins/permission_mixin.py
+依赖模块： application.menu.services - 获取用户权限节点服务
+         utils.utils.uid - 获取当前用户ID工具
+         utils.R - 统一响应工具
+"""
+
+from django.contrib.auth.mixins import PermissionRequiredMixin
+
+from utils import R
+from utils.security import get_user_id
+
+
+# 鉴权中间件
+class PermissionRequired(PermissionRequiredMixin):
+    """
+    自定义权限控制混入类
+    =============================================================
+
+    该类扩展了Django的PermissionRequiredMixin，实现了基于权限节点的
+    细粒度访问控制。通过重写权限验证方法，支持从服务层获取用户权限列表，
+    并进行精确比对。特别处理了超级管理员（ID=1）的权限豁免逻辑。
+
+    使用示例:
+        class UserListView(PermissionRequired, View):
+            permission_required = 'user:list'
+            def get(self, request):
+                # 只有拥有'user:list'权限的用户才能访问
+                return render(...)
+    """
+
+    def has_permission(self):
+        """
+        检查用户是否拥有所需权限
+        =============================================================
+
+        重写父类的has_permission方法，实现自定义权限验证逻辑。
+        通过对比用户拥有的权限节点和访问所需权限节点，决定是否放行。
+        用户ID为1的超级管理员自动获得所有权限。
+
+        返回:
+            bool: True - 有权限，允许访问
+                  False - 无权限，拒绝访问
+
+        处理流程:
+            1. 获取当前视图所需的权限节点列表
+            2. 获取当前登录用户ID
+            3. 如果是超级管理员(ID=1)，直接放行
+            4. 否则获取用户的实际权限节点列表
+            5. 比对所需权限是否在用户权限列表中
+        """
+        # 获取方法节点权限标识
+        # 类型：list
+        # 说明：通过permission_required属性设置的权限节点列表
+        permissions = self.get_permission_required()
+
+        # 用户ID
+        # 函数：get_user_id(request)
+        # 说明：从请求中解析当前登录用户的ID
+        user_id = get_user_id(self.request)
+
+        # 超级管理员自动放行
+        # 说明：ID为1的用户视为超级管理员，拥有所有操作权限
+        if user_id and user_id != 1:
+            # 延迟导入 - 只在需要时才导入
+            from application.menu import services
+            # 获取用户权限节点
+            # 函数：get_user_permissions(user_id)
+            # 说明：从菜单服务中获取指定用户拥有的所有权限节点列表
+            permission_list = services.get_user_permissions(user_id)
+
+            # 遍历所需权限列表
+            for permission in permissions:
+                # 检查每个所需权限是否在用户权限列表中
+                if permission not in permission_list:
+                    # 无节点权限，禁止放行
+                    # 说明：只要有一个所需权限缺失，就拒绝访问
+                    return False
+
+        # 直接放行
+        # 说明：所有权限检查通过，允许访问
+        return True
+
+    # 没有权限时候的报错回调
+    def handle_no_permission(self):
+        """
+        无权限访问时的处理函数
+        =============================================================
+
+        当has_permission()返回False时，Django会自动调用此方法。
+        重写此方法以返回统一的JSON格式无权限响应。
+
+        返回:
+            R对象: 包含错误码和提示信息的统一响应对象
+                  状态码: 401 Unauthorized
+                  提示信息: "暂无操作权限"
+        """
+        return R.failed("暂无操作权限", 401)