📖 Теория — Урок 42

Часть 1: Получение пользователя из request

Это может потребоваться для:

• управления доступом (фильтрация объектов по владельцу)
• сохранения связей между пользователями и объектами
• реализации бизнес-логики, зависящей от конкретного пользователя

Автоматическое назначение владельца при создании объекта

Чтобы не требовать от клиента передавать owner в теле запроса, поле помечается как read_only в сериализаторе, а значение устанавливается автоматически через perform_create:

# serializers.py
from rest_framework import serializers
from .models import Book

class BookSerializer(serializers.ModelSerializer):
    class Meta:
        model = Book
        fields = '__all__'
        read_only_fields = ['owner']  # клиент не передаёт owner

# views.py
from rest_framework import viewsets
from rest_framework.permissions import IsAuthenticated
from .models import Book
from .serializers import BookSerializer

class BookListCreateView(viewsets.ModelViewSet):
    queryset = Book.objects.all()
    serializer_class = BookSerializer
    permission_classes = [IsAuthenticated]

    def perform_create(self, serializer):
        # owner автоматически берётся из запроса
        serializer.save(owner=self.request.user)

Фильтрация объектов по текущему пользователю

Чтобы возвращать только те объекты, которые принадлежат текущему пользователю, нужно переопределить get_queryset():

# views.py
from rest_framework.generics import ListAPIView
from rest_framework.permissions import IsAuthenticated
from .models import Book
from .serializers import BookSerializer

class UserBookListView(ListAPIView):
    serializer_class = BookSerializer
    permission_classes = [IsAuthenticated]

    def get_queryset(self):
        # Возвращаем только книги текущего пользователя
        return Book.objects.filter(owner=self.request.user)

# urls.py
from django.urls import path
from .views import UserBookListView

urlpatterns = [
    path('user-books/', UserBookListView.as_view()),
]

Часть 2: Разрешения на уровне объектов в DRF

Это полезно, когда нужно управлять доступом к отдельным ресурсам в зависимости от прав или ролей пользователя. Например: пользователь может просматривать любую книгу, но редактировать — только свою.

Два метода проверки разрешений

Класс BasePermission

Кастомные классы разрешений наследуются от BasePermission и реализуют один или оба метода. Оба метода возвращают True (доступ разрешён) или False (доступ запрещён).

Когда использовать кастомные классы

• Требуется сложная логика, специфичная для вашего приложения
• Нужно учитывать дополнительные условия: временные рамки, статус объекта, отношения между объектами и пользователями
• Встроенные классы разрешений DRF не покрывают ваши потребности

Разрешение на изменение только для владельца (IsOwnerOrReadOnly)

# permissions.py
from rest_framework.permissions import BasePermission

class IsOwnerOrReadOnly(BasePermission):
    """
    Разрешает редактирование объектов только их владельцам,
    остальным — только чтение.
    """
    def has_object_permission(self, request, view, obj):
        # Все пользователи могут просматривать (SAFE_METHODS)
        if request.method in ['GET', 'HEAD', 'OPTIONS']:
            return True
        # Только владелец может изменять объект
        return obj.owner == request.user

# views.py
from rest_framework.generics import RetrieveUpdateDestroyAPIView
from .models import Book
from .serializers import BookSerializer
from .permissions import IsOwnerOrReadOnly

class BookDetailUpdateDeleteView(RetrieveUpdateDestroyAPIView):
    queryset = Book.objects.all()
    serializer_class = BookSerializer
    permission_classes = [IsOwnerOrReadOnly]

Обновление модели — добавление поля owner

Чтобы проверить, кто создал объект, модель должна содержать поле owner:

# models.py
from django.contrib.auth.models import User

class Book(models.Model):
    title = models.CharField(max_length=200)
    author = models.CharField(max_length=100)
    published_date = models.DateField()
    publisher = models.ForeignKey('Publisher', on_delete=models.CASCADE, null=True, blank=True)
    created_at = models.DateTimeField(null=True, blank=True)
    price = models.DecimalField(max_digits=10, decimal_places=2, null=True, blank=True)
    discounted_price = models.DecimalField(max_digits=10, decimal_places=2, null=True, blank=True)
    is_bestseller = models.BooleanField(default=False)
    genres = models.ManyToManyField('Genre', related_name='books')
    is_banned = models.BooleanField(default=False)
    is_deleted = models.BooleanField(default=False)
    owner = models.ForeignKey(User, on_delete=models.CASCADE, related_name='books')

python manage.py makemigrations
python manage.py migrate

Проверка разрешения: GET-запрос

Запрос пользователя, который не является владельцем:

GET /books/1/

# Ответ: успешно (все пользователи могут просматривать)
{
    "id": 1,
    "title": "Sample Book",
    "author": "Author Name",
    "published_date": "2023-01-01",
    "owner": 1
}

Проверка разрешения: PUT-запрос не от владельца

PUT /books/1/
{
    "title": "Updated Book Title",
    "author": "Updated Author Name",
    "published_date": "2023-01-01",
    "owner": 1
}

# Ответ (если не владелец): 403 Forbidden
{
    "detail": "You do not have permission to perform this action."
}

Часть 3: Разрешения моделей Django

Четыре базовых разрешения для каждой модели

Django автоматически создаёт четыре разрешения при создании новой модели:

Зачем нужны разрешения моделей

• Контроль доступа: точное определение, кто может выполнять какие действия с данными
• Разделение обязанностей: разные пользователи имеют разные роли — редакторы, менеджеры, читатели
• Соблюдение нормативных требований: защита персональных данных, аудит действий

Назначение разрешений через Django Admin

1. Перейдите в административную панель Django
2. Откройте раздел Users и выберите нужного пользователя
3. В разделе Permissions выберите разрешения для модели Book
4. Например: разрешить добавлять и изменять книги, но запретить удаление
5. Сохраните изменения

Группы разрешений

Зачем нужны группы:

• Упрощение управления: вместо назначения прав каждому пользователю создаётся группа с нужными правами
• Организация ролей: группы «Администраторы», «Редакторы», «Читатели» с соответствующими правами
• Масштабируемость: в крупных приложениях управление через группы удобнее индивидуального назначения

Создание группы в Django Admin

1. Перейдите в административную панель Django
2. Откройте раздел Groups (Группы)
3. Нажмите Add Group (Добавить группу)
4. Введите название группы, например «Editors»
5. В разделе Permissions выберите разрешения: Can add book, Can change book, Can view book
6. Сохраните группу
7. Добавьте пользователей в группу — они автоматически получат все разрешения группы

Часть 4: Использование разрешений моделей в DRF

Разрешения, настроенные через Django Admin, можно использовать в DRF для контроля доступа к API через класс DjangoModelPermissions.

DjangoModelPermissions

# views.py
from rest_framework.permissions import DjangoModelPermissions
from rest_framework import viewsets
from .models import Genre
from .serializers import GenreSerializer

class GenreViewSet(viewsets.ModelViewSet):
    queryset = Genre.objects.all()
    serializer_class = GenreSerializer
    permission_classes = [DjangoModelPermissions]

Соответствие HTTP-методов и Django-разрешений

Часть 5: Другие примеры кастомных разрешений

IsAdminOrOwner — администраторы или владельцы

# permissions.py
from rest_framework.permissions import BasePermission

class IsAdminOrOwner(BasePermission):
    """
    Разрешает изменение объектов администраторам или их владельцам,
    остальным — только чтение.
    """
    def has_object_permission(self, request, view, obj):
        if request.method in ['GET', 'HEAD', 'OPTIONS']:
            return True
        # Администратор или владелец могут изменять
        return request.user.is_staff or obj.owner == request.user

# views.py
from rest_framework.generics import RetrieveUpdateDestroyAPIView
from .models import Book
from .serializers import BookSerializer
from .permissions import IsAdminOrOwner

class BookDetailUpdateDeleteView(RetrieveUpdateDestroyAPIView):
    queryset = Book.objects.all()
    serializer_class = BookSerializer
    permission_classes = [IsAdminOrOwner]

IsWorkHour — ограничение по времени суток

# permissions.py
from rest_framework.permissions import BasePermission
from datetime import datetime

class IsWorkHour(BasePermission):
    """
    Разрешает доступ только в рабочие часы (9:00–18:00).
    """
    def has_object_permission(self, request, view, obj):
        current_hour = datetime.now().hour
        return 9 <= current_hour < 18

# views.py
from rest_framework.generics import RetrieveAPIView
from .models import Book
from .serializers import BookSerializer
from .permissions import IsWorkHour

class BookDetailView(RetrieveAPIView):
    queryset = Book.objects.all()
    serializer_class = BookSerializer
    permission_classes = [IsWorkHour]

Комбинирование классов разрешений

# Несколько классов разрешений — И (AND) логика
class BookView(RetrieveUpdateDestroyAPIView):
    permission_classes = [IsAuthenticated, IsOwnerOrReadOnly]
    # Пользователь должен быть аутентифицирован И является владельцем