الصلاحية مطلوبة

جزء من قسم المستخدمون والحسابات في رحلة Django على Coddy. الدرس 13 من 16.

تعرض الصفحة الجديدة /all/ ملاحظات كل مستخدم، ليستفيد منها الأشخاص الذين يجيبون عن طلبات الدعم. is_staff مفتاح واحد لكل شيء؛ وهذه الصفحة تحتاج إلى قاعدة أدق.

لكل نموذج، تنشئ migrate أربعة أذونات: الإضافة والتغيير والحذف والعرض. يُسمّى كل إذن بتسمية التطبيق واسم رمز، مثل shop.change_product. يمكنك منح هذه الأذونات لمستخدم أو مجموعة من صفحة المستخدم في لوحة الإدارة. يمتلك المستخدم المتميز جميع الأذونات.

يتحقق أحد المزيّنات من إذن واحد:

from django.contrib.auth.decorators import permission_required


@permission_required("shop.change_product", raise_exception=True)
def edit_prices(request):
    ...

من دون raise_exception=True، يُوجَّه المستخدم الذي لا يملك الإذن إلى صفحة تسجيل الدخول، حتى لو كان قد سجّل دخوله. ومعه، يحصل على استجابة 403. في أحد العروض، يتحقق request.user.has_perm("shop.change_product") من الأمر نفسه؛ وفي أحد القوالب، يمكنك استخدام {% if perms.shop.change_product %}.

التحدي

متوسط

يمكن فقط للمستخدمين الذين لديهم الإذن notes.view_note فتح /all/. أما الآخرون، فستظهر لهم استجابة 403 Forbidden، وليس صفحة تسجيل الدخول.
بعد رابط الإحصاءات، أضِف رابطًا بعنوان All notes يؤدي إليه، ولا يظهر إلا للمستخدمين الذين لديهم ذلك الإذن.

اضغط على Run وافتح /all/ باسم carol (لديه الإذن) وbob (ليس لديه الإذن). كلمة المرور coddy-pass-123.

جرّب بنفسك

from django.contrib.auth import login
from django.contrib.auth.decorators import login_not_required
from django.contrib.auth.forms import UserCreationForm
from django.contrib.auth.models import User
from django.core.exceptions import PermissionDenied
from django.shortcuts import get_object_or_404, redirect, render

from .forms import NoteForm
from .models import Note


def note_list(request):
    notes = Note.objects.filter(owner=request.user)
    return render(request, "notes/note_list.html", {"notes": notes})


def note_detail(request, pk):
    note = get_object_or_404(Note, pk=pk, owner=request.user)
    return render(request, "notes/note_detail.html", {"note": note})


def note_create(request):
    if request.method == "POST":
        form = NoteForm(request.POST)
        if form.is_valid():
            note = form.save(commit=False)
            note.owner = request.user
            note.save()
            return redirect("notes:detail", pk=note.pk)
    else:
        form = NoteForm()
    return render(request, "notes/note_form.html", {"form": form})


def note_edit(request, pk):
    note = get_object_or_404(Note, pk=pk, owner=request.user)
    if request.method == "POST":
        form = NoteForm(request.POST, instance=note)
        if form.is_valid():
            form.save()
            return redirect("notes:detail", pk=note.pk)
    else:
        form = NoteForm(instance=note)
    return render(request, "notes/note_form.html", {"form": form, "note": note})


def note_delete(request, pk):
    note = get_object_or_404(Note, pk=pk, owner=request.user)
    if request.method == "POST":
        note.delete()
        return redirect("notes:list")
    return render(request, "notes/note_confirm_delete.html", {"note": note})


@login_not_required
def signup(request):
    if request.method == "POST":
        form = UserCreationForm(request.POST)
        if form.is_valid():
            user = form.save()
            login(request, user)
            return redirect("notes:list")
    else:
        form = UserCreationForm()
    return render(request, "notes/signup.html", {"form": form})


def stats(request):
    if not request.user.is_staff:
        raise PermissionDenied
    context = {"user_count": User.objects.count(), "note_count": Note.objects.count()}
    return render(request, "notes/stats.html", context)


def all_notes(request):
    notes = Note.objects.select_related("owner")
    return render(request, "notes/all_notes.html", {"notes": notes})