您好,登錄后才能下訂單哦!
一、什么是rbac
rbac翻譯意思就是(Role-Based Access Contro)基于角色的權限控制
二、優勢
1.將用戶和權限的關系
2.易擴展,易于維護
比如張三李四需要用客戶列表訪問權限,如果上百個用戶,單獨分配權限會麻煩,如果單獨放客戶列表權限在銷售角色里面,張三李四放到銷售角色里就OK了
三、RBAC流程圖
第一張:用戶表
第二張:角色表
第三張表:用戶表和角色表多對多的關系,一個用戶可以有多個角色
第四張表:權限表
第五張表:權限表和角色表多對多的關系,多個權限可以放到一個角色里面
四、效果圖
五、本章案例
背景:開發一個固定資產管理系統
實現功能:根據不同用戶登陸分配不同權限,jack是CTO這個角色,CTO對所有頁面有增刪改查的權限,當jack登陸的時候,顯示有增刪改查的按鈕。當登陸lucy,因為是COO的權限,有所有頁面查詢的權限,只能查看,無法添加修改刪除。
1.在django中把rbac做成組件,到別的項目也可以直接拿來用
2.在項目中新創建一個名為rbac應用,創建命令startapp rbac
3.在rbac應用里mode.pyl寫ORM,分別是賬號表,角色表,權限表,權限組表
from django.db import models
# Create your models here.
class Account(models.Model):
name=models.CharField(max_length=32)
pwd=models.CharField(max_length=32)
roles=models.ManyToManyField(to="Role")
def __str__(self): return self.name
class Role(models.Model):
title=models.CharField(max_length=32)
permissions=models.ManyToManyField(to="Permission")
def __str__(self): return self.title
class Permission(models.Model):
title=models.CharField(max_length=32)
url=models.CharField(max_length=32)
action=models.CharField(max_length=32,default="")
group=models.ForeignKey("PermissionGroup",default=1,on_delete=models.CASCADE)
def __str__(self):return self.title
class PermissionGroup(models.Model):
title = models.CharField(max_length=32)
def __str__(self): return self.title
4.在rdac的admin文件中添加下面數據,為了后臺管理
from django.contrib import admin
from .models import *
class PerConfig(admin.ModelAdmin):
list_display = ["title","url","group","action"]
admin.site.register(Account)
admin.site.register(Role)
admin.site.register(Permission,PerConfig)
admin.site.register(PermissionGroup)
5.在后臺分別對應寫入4張表數據
這是權限表,這里可以理解為一個URL等于一個權限
6.開始寫組件
在rbac應用中,創建一個service的python包,然后在下面創建perssions.py文件
###############################在session注冊權限列表##############################
def initial_session(user,request):
#獲取當前用戶所在的所有角色擁有的權限url,組id,動作,去掉重復
permissions = user.roles.all().values("permissions__url","permissions__group_id","permissions__action").distinct()
#把結果放到一個字典中
permission_dict={}
for item in permissions:
gid=item.get('permissions__group_id')
#判斷當前組id是否已經存在到字典中
if not gid in permission_dict:
#加逗號是因為考慮還有數據
#permission_dict{1:{"url":["/device_list/"],"action":"[search"]},2:{"url":["/device_list/"],"action":["search"}]}
permission_dict[gid]={
"urls":[item["permissions__url"],],
"actions":[item["permissions__action"],]
}
else:
permission_dict[gid]["urls"].append(item["permissions__url"])
permission_dict[gid]["actions"].append(item["permissions__action"])
request.session['permission_dict'] = permission_dict
然后再創建rbac.py,寫一個類,最終寫到setting.py的MIDDLEWARE。
import re
from django.utils.deprecation import MiddlewareMixin
from django.shortcuts import HttpResponse,redirect
class ValidPermission(MiddlewareMixin):
def process_request(self,request):
# 當前訪問路徑
current_path = request.path_info
# 檢查是否屬于白名單,如果是下面路徑url不用校驗
valid_url_list=["/login/","/reg/","/admin/.*","/index/",'/logout/']
for valid_url in valid_url_list:
ret=re.match(valid_url,current_path)
if ret:
return None
# 校驗是否登錄,這步是為了讓用戶去登陸,而不是返回一個沒有權限的頁面
user_id=request.session.get("user_id")
if not user_id:
return redirect("/index/")
# 校驗url
permission_dict=request.session.get("permission_dict")
for item in permission_dict.values():
urls=item['urls']
for reg in urls:
reg="^%s$"%reg
ret=re.match(reg,current_path)
if ret:
request.actions=item['actions']
return None
return HttpResponse("沒有訪問權限!")
7.寫views.py文件,當用戶在登陸頁面登陸發送賬號密碼過來時,進行校驗,如果存在賬號表中,就在session會話中注冊這個用戶id,調用rbac組件,如果通過了就返回頁面
#登陸函數
def login(request):
if request.method=="POST":
user=request.POST.get("user")
pwd=request.POST.get("pwd")
#獲取Account表里面去找有沒有當前的用戶名和密碼
user=Account.objects.filter(name=user,pwd=pwd).first()
if user:
############################### 在session中注冊用戶ID######################
request.session["user_id"]=user.pk
#調用組件
initial_session(user,request)
return redirect("/device_list/")
return render(request,"index.html")
8.在view.py視圖文件中添加下面代碼,Per(request.actions)獲取當前用戶動作
class Per(object):
def __init__(self,actions):
self.actions=actions
def add(self):
return "add" in self.actions
def delete(self):
return "delete" in self.actions
def edit(self):
return "edit" in self.actions
def list(self):
return "search" in self.actions
def device_list(request):
ret = models.Device.objects.all()
#在前端頁面顯示用戶名
per = Per(request.actions)
return render(request, 'device/device_list.html', locals())
9.前端頁面寫模板語言,下面代碼是寫在form表單
<div class="col-md-1 pull-right new-add">
#判斷用戶是否有add添加權限,如果有則顯示按鈕,否則不顯示
{% if per.add %}
<a href="/add_device/" class="btn btn-success">
<i class="fa fa-plus fa-fw"></i>新增
</a>
{% endif %}
</div>
同樣是判斷是否有刪除和編輯權限
{% if per.delete %}
<a class="btn btn-danger del" href="/del_device/{{ device.id }}">
<i class="fa fa-trash-o fa-fw"></i>刪除
</a>
{% endif %}
{% if per.edit %}
<a class="btn btn-info" href="/edit_device/{{ device.id }}">
<i class="fa fa-pencil fa-fw"></i>編輯
</a>
{% endif %}
10.顯示圖,登陸jack用戶
再登陸luyc用戶
可以看到lucy沒有添加刪除編輯的按鈕,就算成功了。
補充一點,url和views.py都寫在項目中,不是寫在應用中喔。
免責聲明:本站發布的內容(圖片、視頻和文字)以原創、轉載和分享為主,文章觀點不代表本網站立場,如果涉及侵權請聯系站長郵箱:is@yisu.com進行舉報,并提供相關證據,一經查實,將立刻刪除涉嫌侵權內容。