Autorisation requise

Fait partie de la section Utilisateurs et comptes du Journey Django de Coddy. Leçon 13 sur 16.

La nouvelle page /all/ répertorie les notes de tous les utilisateurs, à l’intention des personnes qui répondent aux demandes d’assistance. is_staff est un seul interrupteur pour tout ; cette page a besoin d’une règle plus précise.

Pour chaque modèle, migrate crée quatre autorisations : ajouter, modifier, supprimer et consulter. Chacune est nommée à partir du libellé de l’application et d’un nom de code, comme shop.change_product. Vous les attribuez à un utilisateur ou à un groupe depuis la page de l’utilisateur dans l’interface d’administration. Un superutilisateur les possède toutes.

Un décorateur en vérifie une :

from django.contrib.auth.decorators import permission_required


@permission_required("shop.change_product", raise_exception=True)
def edit_prices(request):
    ...

Sans raise_exception=True, un utilisateur qui n’a pas l’autorisation est redirigé vers la page de connexion, même s’il est déjà connecté. Avec cette option, il reçoit une erreur 403. Dans une vue, request.user.has_perm("shop.change_product") pose la même question ; dans un modèle, {% if perms.shop.change_product %}.

Défi

Moyen

Seuls les utilisateurs disposant de l’autorisation notes.view_note peuvent ouvrir /all/. Les autres obtiennent une erreur 403 Forbidden, et non la page de connexion.
Après le lien Stats, ajoutez un lien All notes, affiché uniquement aux utilisateurs disposant de cette autorisation.

Appuyez sur Run et ouvrez /all/ en tant que carol (qui en dispose) et bob (qui n’en dispose pas). Mot de passe : coddy-pass-123.

Essayez vous-même

from django.contrib.auth import login
from django.contrib.auth.decorators import login_not_required
from django.contrib.auth.forms import UserCreationForm
from django.contrib.auth.models import User
from django.core.exceptions import PermissionDenied
from django.shortcuts import get_object_or_404, redirect, render

from .forms import NoteForm
from .models import Note


def note_list(request):
    notes = Note.objects.filter(owner=request.user)
    return render(request, "notes/note_list.html", {"notes": notes})


def note_detail(request, pk):
    note = get_object_or_404(Note, pk=pk, owner=request.user)
    return render(request, "notes/note_detail.html", {"note": note})


def note_create(request):
    if request.method == "POST":
        form = NoteForm(request.POST)
        if form.is_valid():
            note = form.save(commit=False)
            note.owner = request.user
            note.save()
            return redirect("notes:detail", pk=note.pk)
    else:
        form = NoteForm()
    return render(request, "notes/note_form.html", {"form": form})


def note_edit(request, pk):
    note = get_object_or_404(Note, pk=pk, owner=request.user)
    if request.method == "POST":
        form = NoteForm(request.POST, instance=note)
        if form.is_valid():
            form.save()
            return redirect("notes:detail", pk=note.pk)
    else:
        form = NoteForm(instance=note)
    return render(request, "notes/note_form.html", {"form": form, "note": note})


def note_delete(request, pk):
    note = get_object_or_404(Note, pk=pk, owner=request.user)
    if request.method == "POST":
        note.delete()
        return redirect("notes:list")
    return render(request, "notes/note_confirm_delete.html", {"note": note})


@login_not_required
def signup(request):
    if request.method == "POST":
        form = UserCreationForm(request.POST)
        if form.is_valid():
            user = form.save()
            login(request, user)
            return redirect("notes:list")
    else:
        form = UserCreationForm()
    return render(request, "notes/signup.html", {"form": form})


def stats(request):
    if not request.user.is_staff:
        raise PermissionDenied
    context = {"user_count": User.objects.count(), "note_count": Note.objects.count()}
    return render(request, "notes/stats.html", context)


def all_notes(request):
    notes = Note.objects.select_related("owner")
    return render(request, "notes/all_notes.html", {"notes": notes})