Django REST frameworkチュートリアル その4.1
Object level permissions
前回の記事「Django REST frameworkチュートリアル その4」の続きです。
前回の記事では認証処理を実装しましたが、その課題として以下のものがありました。
トークンを持っていれば他の人のユーザー情報やスニペットの中身を書き換えることができてしまいます。変更や削除などのリクエストを送った人がそのデータのオーナーなのかをチェックしたいです。
はい。ということで、リクエストを送った人が編集したいデータのオーナーであるかのチェックをしたいと思います。
permissions.py
自分でカスタムのパーミッションを作成する際には、BasePermission
を継承してhas_object_permission()
メソッドをオーバーライドします。
新規でpermissions.py
を作成して、カスタムパーミッションを実装してみましょう。
from rest_framework import permissions
class IsOwnerOrReadOnly(permissions.BasePermission):
"""
Custom permission to only allow owners of an object to edit it.
"""
def has_object_permission(self, request, view, obj):
# Read permissions are allowed to any request,
# so we'll always allow GET, HEAD or OPTIONS requests.
if request.method in permissions.SAFE_METHODS:
return True
# Write permissions are only allowed to the owner of the snippet.
return obj.owner == request.user
コメントにある通り、GET
、HEAD
、OPTIONS
メソッドなどの安全なリクエストは誰でも取得できますが、他のメソッドについては、リクエストを送った人とオブジェクトのオーナーが同じでないと認証が通りません。
views.py
あとはviews.py
のpermission_classes
に上で作ったクラスを設定してあげるだけです。
from rest_framework.response import Response
from snippets.models import Snippet
from snippets.serializers import SnippetSerializer, UserSerializer
from snippets.permissions import IsOwnerOrReadOnly
from django.contrib.auth.models import User
from rest_framework import generics, permissions
class SnippetList(generics.ListCreateAPIView):
permission_classes = [permissions.IsAuthenticatedOrReadOnly]
queryset = Snippet.objects.all()
serializer_class = SnippetSerializer
class SnippetDetail(generics.RetrieveUpdateDestroyAPIView):
permission_classes = [IsOwnerOrReadOnly]
queryset = Snippet.objects.all()
serializer_class = SnippetSerializer
class UserList(generics.ListCreateAPIView):
permission_classes = [permissions.AllowAny]
queryset = User.objects.all()
serializer_class = UserSerializer
class UserDetails(generics.RetrieveUpdateDestroyAPIView):
permission_classes = [IsOwnerOrReadOnly]
queryset = User.objects.all()
serializer_class = UserSerializer
テスト
あらかじめユーザーを2名以上作成しておきましょう。
以下のコードでそれぞれのユーザーでアクセストークンを取得します。
curl -X POST -d "grant_type=password&username=<user_name>&password=<password>" -u"<client_id>:<client_secret>" http://localhost:8000/oauth2/token/
そしてあるスニペットに対して2人のアクセストークンでそれぞれリクエストを送ってみてください。
curl -X PATCH -H 'Content-Type:application/json' -H "Authorization: Bearer <your_access_token>" -d '{"code":"This is modified."}' http://localhost:8000/snippets/1/
そうするとスニペットのオーナーに対してはリクエストが通るのに対して、オーナーでないユーザーに対してはリクエストが拒否されるのが確認できるかと思います。
以上でオーナーのチェックは完了です。
Author And Source
この問題について(Django REST frameworkチュートリアル その4.1), 我々は、より多くの情報をここで見つけました https://qiita.com/Gattaca/items/77cf379bcc99f1b8b324著者帰属:元の著者の情報は、元のURLに含まれています。著作権は原作者に属する。
Content is automatically searched and collected through network algorithms . If there is a violation . Please contact us . We will adjust (correct author information ,or delete content ) as soon as possible .