Django-rest-framework: कस्टम व्यूसेट मार्गों पर ऑब्जेक्ट अनुमतियों की जाँच नहीं की जाती है

को निर्मित 23 मई 2016 · 4टिप्पणियाँ · स्रोत: encode/django-rest-framework

प्रजनन के चरण

class MyViewSet(viewsets.ModelViewSet):
    queryset = MyModel.objects.all()
    serializer_class = MySerializer
    authentication_classes = (MyAuth, )
    permission_classes = (MyPermissions, )

    @detail_route(methods=["GET", ])
    def custom(self, request, pk=None):
        return Response('whatever')

from rest_framework import routers
router = routers.SimpleRouter() 
router.register('mymodel', MyViewSet)
urlpatterns = [
    url(r'^api/', include(router.urls)),
]

/api/mymodel/123/custom/ के लिए एक GET अनुरोध करें

अपेक्षित् व्यवहार

has_object_permission() को वस्तु के रूप में MyModel.objects.get(pk=123) साथ बुलाया जाना चाहिए।

वास्तविक व्यवहार

/api/mymodel/123/custom/ के रूप में कस्टम मार्ग के लिए अनुरोध MyPermissions में has_permission() को कॉल करेगा, लेकिन has_object_permission() नहीं, भले ही यह एक विस्तृत मार्ग है।

Documentation

स्रोत

MadWombat

सबसे उपयोगी टिप्पणी

हमें इस तथ्य का दस्तावेजीकरण करने की आवश्यकता है कि आपको केवल has_object_permission ही कॉल किया जाएगा यदि आप get_object कॉल करते हैं।

xordoquy 23 मई 2016

👍5 ❤3

सभी 4 टिप्पणियाँ

xordoquy 23 मई 2016

👍5 ❤3

यह प्रति-सहज लगता है। आईडी 123 के साथ ऑब्जेक्ट इंस्टेंस पर कुछ विधि को कॉल करने के लिए आमतौर पर/एपीआई/ऑब्जेक्ट/123/विधि/ जैसे कॉल का उपयोग किया जाता है और ऐसा लगता है कि ऑब्जेक्ट अनुमति की जांच एक अपेक्षित व्यवहार होगा। अन्यथा हर बार जब कोई कस्टम विवरण मार्ग बनाता है, तो उन्हें वस्तु को पुनः प्राप्त करना होगा, मैन्युअल रूप से अनुमतियों की जांच करनी होगी और आगे बढ़ना होगा। उस समय, has_object_permission() को कॉल करने का कोई मतलब नहीं है। तो हर परिदृश्य में जहां वस्तु स्तर की अनुमतियों का उपयोग किया जाता है, कुछ बॉयलरप्लेट का उपयोग करना होगा

class CustomPermission(BasePermission):
    def has_permission(self, request, view):
        """we need to do all permission checking here, since has_object_permission() is not guaranteed to be called"""
        if 'pk' in view.kwargs and view.kwargs['pk']:
            obj = view.get_queryset()[0]
            # check object permissions here
        else:
            # check model permissions here

    def has_object_permission(self, request, view, obj):
        """ nothing to do here, we already checked everything, so ignore """
        return True

MadWombat 23 मई 2016

😄2

मुझे लगता है मैं अब समझ गया। अगर मैं अपने कस्टम मार्गों में get_object() को कॉल करता हूं, has_object_permission() कॉल किया जाएगा। अभी भी प्रति-सहज लगता है, लेकिन कम से कम एक स्पष्ट समाधान है।

MadWombat 23 मई 2016

मुझे दस्तावेज़ीकरण के लिए एक ठोस पुल-अनुरोध पर विचार करने में खुशी होगी, लेकिन जैसा कि यह खड़ा है, मुझे लगता है कि हमें जो मिला है वह http://www.django-rest-framework.org/api-guide/permissions/ में पर्याप्त है

इसे बंद करना, लेकिन जैसा कि विख्यात विशिष्ट रीफ़्रेशिंग/जोड़ _could_ पर विचार किया गया है।

tomchristie 24 मई 2016

क्या यह पृष्ठ उपयोगी था?

0 / 5 - 0 रेटिंग्स