基于Django实现RBAC权限管理
那鹏
概述
RBAC(Role-Based Access Control,基于角色的访问控制)，通过角色绑定权限，然后给用户划分角色。在web应用中，可以将权限理解为url，一个权限对应一个url。
在实际应用中，url是依附在菜单下的，比如一个简单的生产企业管理系统，菜单可以大致分为以下几块：制造、资材、生产管理、人事、财务等等。每个菜单下又可以有子菜单，但最终都会指向一个url，点击这个url，通过Django路由系统执行一个视图函数，来完成某种操作。这里，制造部的员工登录系统后，肯定不能点击财务下的菜单，甚至都不会显示财务的菜单。
设计表关系
基于上述分析，在设计表关系时，起码要有4张表：用户，角色，权限，菜单：
- 用户可以绑定多个角色，从而实现灵活的权限组合 ：用户和角色，多对多关系
- 每个角色下，绑定多个权限，一个权限也可以属于多个角色：角色和权限，多对多关系
- 一个权限附属在一个菜单下，一个菜单下可以有多个权限：菜单和权限：多对一关系
- 一个菜单下可能有多个子菜单，也可能有一个父菜单：菜单和菜单是自引用关系
其中角色和权限、用户和角色，是两个多对多关系，由Django自动生成另外两种关联表。因此一共会产生6张表，用来实现权限管理。
下面我们新建一个项目，并在项目下新建rbac应用，在该应用的models.py中来定义这几张表：
from django.db import models
class Menu(models.Model):
"""
菜单
"""
title = models.CharField(max_length=32, unique=True)
parent = models.ForeignKey("Menu", null=True, blank=True)
# 定义菜单间的自引用关系
# 权限url 在 菜单下；菜单可以有父级菜单；还要支持用户创建菜单，因此需要定义parent字段（parent_id）
# blank=True 意味着在后台管理中填写可以为空，根菜单没有父级菜单
def __str__(self):
# 显示层级菜单
title_list = [self.title]
p = self.parent
while p:
title_list.insert(0, p.title)
p = p.parent
return '-'.join(title_list)
class Permission(models.Model):
"""
权限
"""
title = models.CharField(max_length=32, unique=True)
url = models.CharField(max_length=128, unique=True)
menu = models.ForeignKey("Menu", null=True, blank=True)
def __str__(self):
# 显示带菜单前缀的权限
return '{menu}---{permission}'.format(menu=self.menu, permission=self.title)
class Role(models.Model):
"""
角色：绑定权限
"""
title = models.CharField(max_length=32, unique=True)
permissions = models.ManyToManyField("Permission")
# 定义角色和权限的多对多关系
def __str__(self):
return self.title
class UserInfo(models.Model):
"""
用户：划分角色
"""
username = models.CharField(max_length=32)
password = models.CharField(max_length=64)
nickname = models.CharField(max_length=32)
email = models.EmailField()
roles = models.ManyToManyField("Role")
# 定义用户和角色的多对多关系
def __str__(self):
return self.nickname权限的初始化和验证
我们知道Http是无状态协议，那么服务端如何判断用户是否具有哪些权限呢？通过session会话管理，将请求之间需要”记住“的信息保存在session中。用户登录成功后，可以从数据库中取出该用户角色下对应的权限信息，并将这些信息写入session中。
所以每次用户的Http request过来后，服务端尝试从request.session中取出权限信息，如果为空，说明用户未登录，重定向至登录页面。否则说明已经登录（即权限信息已经写入request.session中），将用户请求的url与其权限信息进行匹配，匹配成功则允许访问，否则拦截请求。
我们先来实现第一步：提取用户权限信息，并写入session
为了实现rabc功能可在任意项目中的可用，我们单独创建一个rbac应用，以后其它项目需要权限管理时，直接拿到过，稍作配置即可。在rbac应用下新建一个文件夹service，写一个脚本init_permission.py用来执行初始化权限的操作：用户登录后，取出其权限及所属菜单信息，写入session中
from ..models import UserInfo, Menu
def init_permission(request, user_obj):
"""
初始化用户权限, 写入session
:param request:
:param user_obj:
:return:
"""
permission_item_list = user_obj.roles.values('permissions__url',
'permissions__title',
'permissions__menu_id').distinct()
permission_url_list = []
# 用户权限url列表，--> 用于中间件验证用户权限
permission_menu_list = []
# 用户权限url所属菜单列表 [{"title":xxx, "url":xxx, "menu_id": xxx},{},]
for item in permission_item_list:
permission_url_list.append(item['permissions__url'])
if item['permissions__menu_id']:
temp = {"title": item['permissions__title'],
"url": item["permissions__url"],
"menu_id": item["permissions__menu_id"]}
permission_menu_list.append(temp)
menu_list = list(Menu.objects.values('id', 'title', 'parent_id'))
# 注：session在存储时，会先对数据进行序列化，因此对于Queryset对象写入session，加list()转为可序列化对象
from django.conf import settings # 通过这种方式导入配置，具有可迁移性
# 保存用户权限url列表
request.session[settings.SESSION_PERMISSION_URL_KEY] = permission_url_list
# 保存 权限菜单 和所有 菜单；用户登录后作菜单展示用
request.session[settings.SESSION_MENU_KEY] = {
settings.ALL_MENU_KEY: menu_list,
settings.PERMISSION_MENU_KEY: permission_menu_list,
}可以在项目的settings中指定session保存权限信息的key：
# 定义session 键：
# 保存用户权限url列表
# 保存 权限菜单 和所有 菜单
SESSION_PERMISSION_URL_KEY = 'cool'
SESSION_MENU_KEY = 'awesome'
ALL_MENU_KEY = 'k1'
PERMISSION_MENU_KEY = 'k2'这样，用户登录后，调用init_permission，即可完成初始化权限操作。而且即使修改了用户权限，每次重新登录后，调用该方法，都会更新权限信息：
from django.shortcuts import render, redirect, HttpResponse
from rbac.models import UserInfo
from rbac.service.init_permission import init_permission
def login(request):
if request.method == "GET":
return render(request, "login.html")
else:
username = request.POST.get('username')
password = request.POST.get('password')
user_obj = UserInfo.objects.filter(username=username, password=password).first()
if not user_obj:
return render(request, "login.html", {'error': '用户名或密码错误！'})
else:
init_permission(request, user_obj) #调用init_permission，初始化权限
return redirect('/index/')第二步，检查用户权限，控制访问
要在每次请求过来时检查用户权限，对于这种对请求作统一处理的需求，利用中间件再合适不过（关于中间件的信息，可以参考我的另一篇博文）。我们在rbac应用下新建一个目录middleware，用来存放自定义中间件，新建rbac.py，在其中实现检查用户权限，控制访问：
from django.conf import settings
from django.shortcuts import HttpResponse, redirect
import re
class MiddlewareMixin(object):
def __init__(self, get_response=None):
self.get_response = get_response
super(MiddlewareMixin, self).__init__()
def __call__(self, request):
response = None
if hasattr(self, 'process_request'):
response = self.process_request(request)
if not response:
response = self.get_response(request)
if hasattr(self, 'process_response'):
response = self.process_response(request, response)
return response
class RbacMiddleware(MiddlewareMixin):
"""
检查用户的url请求是否是其权限范围内
"""
def process_request(self, request):
request_url = request.path_info
permission_url = request.session.get(settings.SESSION_PERMISSION_URL_KEY)
print('访问url',request_url)
print('权限--',permission_url)
# 如果请求url在白名单，放行
for url in settings.SAFE_URL:
if re.match(url, request_url):
return None
# 如果未取到permission_url, 重定向至登录；为了可移植性，将登录url写入配置
if not permission_url:
return redirect(settings.LOGIN_URL)
# 循环permission_url，作为正则，匹配用户request_url
# 正则应该进行一些限定，以处理：/user/ -- /user/add/匹配成功的情况
flag = False
for url in permission_url:
url_pattern = settings.REGEX_URL.format(url=url)
if re.match(url_pattern, request_url):
flag = True
break
if flag:
return None
else:
# 如果是调试模式，显示可访问url
if settings.DEBUG:
info ='<br/>' + ( '<br/>'.join(permission_url))
return HttpResponse('无权限，请尝试访问以下地址：%s' %info)
else:
return HttpResponse('无权限访问')说明：
- 有些访问不需要权限，或者在测试时，我们可以在settings中配置一个白名单；
- 将登录的url写入settings中，增强可移植性；
- url本质是正则表达式，在匹配用户请求的url是否在其权限范围内时，需要作严格匹配，这个也可以在settings中配置
- 中间件定义完成后，加入settings中的MIDDLEWARE列表中最后面（加到前面可能还没有session信息）
settings中的配置如下：
LOGIN_URL = '/login/'
REGEX_URL = r'^{url}$' # url作严格匹配
# 配置url权限白名单
SAFE_URL = [
r'/login/',
'/admin/.*',
'/test/',
'/index/',
'^/rbac/',
]
MIDDLEWARE = [
'django.middleware.security.SecurityMiddleware',
'......',
'rbac.middleware.rbac.RbacMiddleware' # 加入自定义的中间件到最后
]菜单显示
用户登录后，应该根据其权限，显示其可以操作的菜单。前面我们我们已经将用户的权限和菜单信息保存在了request.session中，因此如何从中提取信息，并将其渲染成页面显示的菜单，就是接下来要解决的问题。
提取信息很简单，因为在用户登录后调用init_permission初始化权限时，已经将权限和菜单信息进行了初步处理，并写入了session，这里只需要通过key将信息取出来即可。
显示菜单要处理三个问题：
- 第一，只显示用户权限对应的菜单，因此不同用户看到的菜单可能是不一样的
- 第二，对用户当前访问的菜单下的url作展开显示，其余菜单折叠；
- 第三，菜单的层级是不确定的（而且，后面要实现权限的后台管理，允许管理员添加菜单和权限）；
自定义标签
接下来我们通过自定义标签（关于自定义标签的方法，可以参考我之前的一篇关于模板的博文），来实现以上需求：
- 它接收request参数，从中提取session保存的权限和菜单数据；
- 对数据作结构化处理
- 将数据渲染为html字符串。
下面 我们在rabc应用的目录下新建templatetags目录，写一个脚本custom_tag.py，写一个函数rbac_menu，并加上自定义标签的装饰器：
from django import template
from django.utils.safestring import mark_safe
register = template.Library()
def get_structure_data(request):
pass
def get_menu_html(menu_data):
pass
@register.simple_tag
def rbac_menu(request):
"""
显示多级菜单：
请求过来 -- 拿到session中的菜单，权限数据 -- 处理数据 -- 作显示
数据处理部分抽象出来由单独的函数处理；渲染部分也抽象出来由单独函数处理
"""
menu_data = get_structure_data(request)
menu_html = get_menu_html(menu_data)
return mark_safe(menu_html)
# 因为标签无法使用safe过滤器，这里用mark_safe函数来实现其中，我们将数据处理部分和数据渲染部分抽象为两个函数：
数据处理
from django.conf import settings
import re, os
def get_structure_data(request):
"""处理菜单结构"""
menu = request.session[settings.SESSION_MENU_KEY]
all_menu = menu[settings.ALL_MENU_KEY]
permission_url = menu[settings.PERMISSION_MENU_KEY]
# all_menu = [
# {'id': 1, 'title': '订单管理', 'parent_id': None},
# {'id': 2, 'title': '库存管理', 'parent_id': None},
# {'id': 3, 'title': '生产管理', 'parent_id': None},
# {'id': 4, 'title': '生产调查', 'parent_id': None}
# ]
# 定制数据结构
all_menu_dict = {}
for item in all_menu:
item['status'] = False
item['open'] = False
item['children'] = []
all_menu_dict[item['id']] = item
# all_menu_dict = {
# 1: {'id': 1, 'title': '订单管理', 'parent_id': None, 'status': False, 'open': False, 'children': []},
# 2: {'id': 2, 'title': '库存管理', 'parent_id': None, 'status': False, 'open': False, 'children': []},
# 3: {'id': 3, 'title': '生产管理', 'parent_id': None, 'status': False, 'open': False, 'children': []},
# 4: {'id': 4, 'title': '生产调查', 'parent_id': None, 'status': False, 'open': False, 'children': []}
# }
# permission_url = [
# {'title': '查看订单', 'url': '/order', 'menu_id': 1},
# {'title': '查看库存清单', 'url': '/stock/detail', 'menu_id': 2},
# {'title': '查看生产订单', 'url': '/produce/detail', 'menu_id': 3},
# {'title': '产出管理', 'url': '/survey/produce', 'menu_id': 4},
# {'title': '工时管理', 'url': '/survey/labor', 'menu_id': 4},
# {'title': '入库', 'url': '/stock/in', 'menu_id': 2},
# {'title': '排单', 'url': '/produce/new', 'menu_id': 3}
# ]
request_rul = request.path_info
for url in permission_url:
# 添加两个状态：显示 和 展开
url['status'] = True
pattern = url['url']
if re.match(pattern, request_rul):
url['open'] = True
else:
url['open'] = False
# 将url添加到菜单下
all_menu_dict[url['menu_id']]["children"].append(url)
# 显示菜单：url 的菜单及上层菜单 status: true
pid = url['menu_id']
while pid:
all_menu_dict[pid]['status'] = True
pid = all_menu_dict[pid]['parent_id']
# 展开url上层菜单：url['open'] = True, 其菜单及其父菜单open = True
if url['open']:
ppid = url['menu_id']
while ppid:
all_menu_dict[ppid]['open'] = True
ppid = all_menu_dict[ppid]['parent_id']
# 整理菜单层级结构：没有parent_id 的为根菜单， 并将有parent_id 的菜单项加入其父项的chidren内
menu_data = []
for i in all_menu_dict:
if all_menu_dict[i]['parent_id']:
pid = all_menu_dict[i]['parent_id']
parent_menu = all_menu_dict[pid]
parent_menu['children'].append(all_menu_dict[i])
else:
menu_data.append(all_menu_dict[i])
return menu_data渲染菜单
多级菜单的显示需要用到递归，因为层级不确定
def get_menu_html(menu_data):
"""显示：菜单 + [子菜单] + 权限(url)"""
option_str = """
<div class='rbac-menu-item'>
<div class='rbac-menu-header'>{menu_title}</div>
<div class='rbac-menu-body {active}'>{sub_menu}</div>
</div>
"""
url_str = """
<a href="{permission_url}" class="{active}">{permission_title}</a>
"""
"""
menu_data = [
{'id': 1, 'title': '订单管理', 'parent_id': None, 'status': True, 'open': False,
'children': [{'title': '查看订单', 'url': '/order', 'menu_id': 1, 'status': True, 'open': False}]},
{'id': 2, 'title': '库存管理', 'parent_id': None, 'status': True, 'open': True,
'children': [{'title': '查看库存清单', 'url': '/stock/detail', 'menu_id': 2, 'status': True, 'open': False},
{'title': '入库', 'url': '/stock/in', 'menu_id': 2, 'status': True, 'open': True}]},
{'id': 3, 'title': '生产管理', 'parent_id': None, 'status': True, 'open': False,
'children': [{'title': '查看生产订单', 'url': '/produce/detail', 'menu_id': 3, 'status': True, 'open': False},
{'title': '排单', 'url': '/produce/new', 'menu_id': 3, 'status': True, 'open': False}]},
{'id': 4, 'title': '生产调查', 'parent_id': None, 'status': True, 'open': False,
'children': [{'title': '产出管理', 'url': '/survey/produce', 'menu_id': 4, 'status': True, 'open': False},
{'title': '工时管理', 'url': '/survey/labor', 'menu_id': 4, 'status': True, 'open': False}]}
]
"""
menu_html = ''
for item in menu_data:
if not item['status']: # 如果用户权限不在某个菜单下，即item['status']=False, 不显示
continue
else:
if item.get('url'): # 说明循环到了菜单最里层的url
menu_html += url_str.format(permission_url=item['url'],
active="rbac-active" if item['open'] else "",
permission_title=item['title'])
else:
menu_html += option_str.format(menu_title=item['title'],
sub_menu=get_menu_html(item['children']),
active="" if item['open'] else "rbac-hide")
return menu_html样式和JS文件处理
在渲染菜单时会用到自定义的css和js文件，这些也应该打包好，保证rbac的可迁移性。因此，在这个自定义标签的脚本中，额外定义两个标签，用来加载css和js文件：
@register.simple_tag
def rbac_css():
"""
rabc要用到的css文件路径，并读取返回；注意返回字符串用mark_safe，否则传到模板会转义
:return:
"""
css_path = os.path.join('rbac', 'style_script','rbac.css')
css = open(css_path,'r',encoding='utf-8').read()
return mark_safe(css)
@register.simple_tag
def rbac_js():
"""
rabc要用到的js文件路径，并读取返回
:return:
"""
js_path = os.path.join('rbac', 'style_script', 'rbac.js')
js = open(js_path, 'r', encoding='utf-8').read()
return mark_safe(js)这样，菜单显示就完成了。用户登录后，假如访问index.html页面，那么只要在该模板中调用上面的自定义标签即可：
{% load custom_tag %}
{% load static %}
<html lang="en">
<head>
<meta charset="UTF-8">
<title>Title</title>
<!-- 通过调用自定义标签中的函数，导入rbac中的css和js -->
<style>
{% rbac_css %}
</style>
<script src="{% static 'jquery-3.2.1.js' %}"></script>
<script>
$(function () {
{% rbac_js %}
})
</script>
</head>
<body>
<!-- 生成菜单 -->
{% rbac_menu request %}
</body>
</html>权限的后台管理
权限的后台管理，就是提供对Model中定义的那几张表的增删改查功能。这里以用户表UserInfo为例来说明。
路由分发
因为权限管理作为一个单独的模块，所以需要在项目的全局urls.py中作一个路由分发：
from django.conf.urls import url, include
urlpatterns = [
url(r'^rbac/', include('rbac.urls') )
]在rbac应用的urls.py中定义具体的路由：
from django.conf.urls import url
from . import views
urlpatterns = [
url(r'^users/$', views.users),
url(r'^users/new/$', views.users_new),
url(r'^users/edit/(?P<id>\d+)/$', views.users_edit),
url(r'^users/delete/(?P<id>\d+)/$', views.users_delete),
url(r'^$', views.index),
]视图中处理增删改查
定义ModelForm
这里利用Django的ModelForm，简化这些操作（关于ModelForm的使用，可以参考我的博客）。首先在rbac应用的forms.py中定义UserInfo的ModelForm：
from django.forms import ModelForm
from .models import UserInfo, Role, Permission, Menu
class UserInfoModelForm(ModelForm):
class Meta:
model = UserInfo
fields = '__all__'
labels = {
'username': '用户名',
'password': '密码',
'nickname': '昵称',
'email': '邮箱',
'roles': '角色',
}视图逻辑
这里要注意的就是，如果是修改，那么需要给model_form对象传入一个实例对象。
from django.shortcuts import render, redirect, reverse
from .models import UserInfo, Role, Permission, Menu
from .forms import UserInfoModelForm, RoleModelForm, PermissionModelForm, MenuModelForm
def index(request): # 提供后台管理的入口
return render(request, 'rbac/index.html')
def users(request):
"""查询所有用户信息"""
user_list = UserInfo.objects.all()
return render(request, 'rbac/users.html', {'user_list': user_list})
def users_new(request):
if request.method =="GET":
# 传入ModelForm对象
model_form = UserInfoModelForm()
return render(request, 'rbac/common_edit.html', {'model_form': model_form, 'title': '新增用户'})
else:
model_form = UserInfoModelForm(request.POST)
if model_form.is_valid():
model_form.save()
return redirect(reverse(users))
else:
return render(request, 'rbac/common_edit.html',{'model_form': model_form, 'title': '新增用户'})
def users_edit(request,id):
user_obj = UserInfo.objects.filter(id=id).first()
if request.method == 'GET':
model_form = UserInfoModelForm(instance=user_obj)
return render(request, 'rbac/common_edit.html', {'model_form': model_form, 'title': '编辑用户'})
else:
model_form = UserInfoModelForm(request.POST, instance=user_obj)
if model_form.is_valid():
model_form.save()
return redirect(reverse(users))
else:
return render(request, 'rbac/common_edit.html', {'model_form': model_form, 'title': '编辑用户'})
def users_delete(request, id):
user_obj = UserInfo.objects.filter(id=id).first()
user_obj.delete()
return redirect(reverse(users))
类似资料：