Требуется разрешение

Часть раздела Пользователи и учетные записи путешествия по Django на Coddy. Урок 13 из 16.

Новая страница /all/ показывает заметки всех пользователей и предназначена для тех, кто отвечает на запросы в службу поддержки. is_staff — это один переключатель для всего; для этой страницы нужно более точное правило.

Для каждой модели команда migrate создаёт четыре разрешения: на добавление, изменение, удаление и просмотр. Каждое называется с помощью метки приложения и кодового имени, например shop.change_product. Вы назначаете их пользователю или группе на странице пользователя в административной панели. У суперпользователя есть все эти разрешения.

Декоратор проверяет одно из них:

from django.contrib.auth.decorators import permission_required


@permission_required("shop.change_product", raise_exception=True)
def edit_prices(request):
    ...

Без raise_exception=True пользователь без разрешения перенаправляется на страницу входа, даже если он уже вошёл в систему. С этим параметром он получает ошибку 403. Во view выражение request.user.has_perm("shop.change_product") выполняет ту же проверку; в шаблоне — {% if perms.shop.change_product %}.

Задание

Средне

Только пользователи с разрешением notes.view_note могут открыть /all/. Остальные получат ошибку 403 Forbidden, а не страницу входа.
После ссылки Stats добавьте ссылку All notes, которая будет отображаться только пользователям с этим разрешением.

Нажмите Run и откройте /all/ от имени carol (у неё есть разрешение) и bob (у него его нет). Пароль coddy-pass-123.

Попробуйте сами

from django.contrib.auth import login
from django.contrib.auth.decorators import login_not_required
from django.contrib.auth.forms import UserCreationForm
from django.contrib.auth.models import User
from django.core.exceptions import PermissionDenied
from django.shortcuts import get_object_or_404, redirect, render

from .forms import NoteForm
from .models import Note


def note_list(request):
    notes = Note.objects.filter(owner=request.user)
    return render(request, "notes/note_list.html", {"notes": notes})


def note_detail(request, pk):
    note = get_object_or_404(Note, pk=pk, owner=request.user)
    return render(request, "notes/note_detail.html", {"note": note})


def note_create(request):
    if request.method == "POST":
        form = NoteForm(request.POST)
        if form.is_valid():
            note = form.save(commit=False)
            note.owner = request.user
            note.save()
            return redirect("notes:detail", pk=note.pk)
    else:
        form = NoteForm()
    return render(request, "notes/note_form.html", {"form": form})


def note_edit(request, pk):
    note = get_object_or_404(Note, pk=pk, owner=request.user)
    if request.method == "POST":
        form = NoteForm(request.POST, instance=note)
        if form.is_valid():
            form.save()
            return redirect("notes:detail", pk=note.pk)
    else:
        form = NoteForm(instance=note)
    return render(request, "notes/note_form.html", {"form": form, "note": note})


def note_delete(request, pk):
    note = get_object_or_404(Note, pk=pk, owner=request.user)
    if request.method == "POST":
        note.delete()
        return redirect("notes:list")
    return render(request, "notes/note_confirm_delete.html", {"note": note})


@login_not_required
def signup(request):
    if request.method == "POST":
        form = UserCreationForm(request.POST)
        if form.is_valid():
            user = form.save()
            login(request, user)
            return redirect("notes:list")
    else:
        form = UserCreationForm()
    return render(request, "notes/signup.html", {"form": form})


def stats(request):
    if not request.user.is_staff:
        raise PermissionDenied
    context = {"user_count": User.objects.count(), "note_count": Note.objects.count()}
    return render(request, "notes/stats.html", context)


def all_notes(request):
    notes = Note.objects.select_related("owner")
    return render(request, "notes/all_notes.html", {"notes": notes})