RBAC

RBAC(Role-based Access Control)

在Django中的应用：
首先理解Django的生命周期

1、当用户在浏览器中输入url时,浏览器会生成请求头和请求体发给服务端
请求头和请求体中会包含浏览器的动作(action),这个动作通常为get或者post,体现在url之中.

2、url经过Django中的wsgi,再经过Django的中间件,最后url到过路由映射表,在路由中一条一条进行匹配,
一旦其中一条匹配成功就执行对应的视图函数,后面的路由就不再继续匹配了.

3、视图函数根据客户端的请求查询相应的数据.返回给Django,然后Django把客户端想要的数据做为一个字符串返回给客户端.

4、客户端浏览器接收到返回的数据,经过渲染后显示给用户。

RBAC在Django中的使用原理：

1、首先用户第一次在浏览器中登录时，将其相关的所有权限写入session中（session中同时还能保留用户的其他信息，比如生成菜单界面的信息等），此步骤亦可称之为用户权限的初始化(发生在django的中间件process_request方法里)。
2、在用户再次登录时，请求将在中间件中进行判断，通过正则表达式来匹配session中保存的权限，如果匹配成功，再根据用户的不同权限，进行不同的页面功能展示。
权限表结构

from django.db import models

# Create your models here.
class Role(models.Model):
    title = models.CharField(max_length=32,verbose_name="角色")
    permissions = models.ManyToManyField(to="Permission",verbose_name="拥有权限的角色",blank=True)  #权限和角色是多对多的关系

    def __str__(self):
        return self.title
    class Meta:
        verbose_name_plural = "角色表"

class Permission(models.Model):
    title = models.CharField(max_length=32,verbose_name="权限名")
    url = models.CharField(max_length=32,verbose_name="带正则的url")
    codes = models.CharField(max_length=32,verbose_name="代码")
    group = models.ForeignKey(to="Group",verbose_name="所属组",blank=True)  #组和权限是一对多的关系，一个组有多个权限
    menu_gp = models.ForeignKey(to='Permission',related_name='aaa',null=True,blank=True,verbose_name="组内菜单")
    def __str__(self):
        return self.title
    class Meta:
        verbose_name_plural = "权限表"

class UserInfo(models.Model):
    name = models.CharField(max_length=32,verbose_name="姓名")
    password = models.CharField(max_length=64,verbose_name="密码")
    email = models.CharField(max_length=32,verbose_name="邮箱")
    roles = models.ManyToManyField(to="Role",blank=True)  #用户和角色是多对多的关系
    def __str__(self):
        return self.name
    class Meta:
        verbose_name_plural = "用户表"

class Group(models.Model):
    title = models.CharField(max_length=32,verbose_name="组名称")
    menu = models.ForeignKey(to="Menu",verbose_name="组内菜单",blank=True)  #一个组下有多个菜单
    def __str__(self):
        return self.title
    class Meta:
        verbose_name_plural = "权限组"

class Menu(models.Model):
    caption = models.CharField(max_length=32,verbose_name="菜单")
    def __str__(self):
        return self.caption
    class Meta:
        verbose_name_plural = "菜单表"

五个类，七张表：

角色表，用户表，权限表，权限组组表，菜单表：

角色表和权限表是多对多的关系（一个角色可以有多个权限，一个权限可以对应多个角色）
用户表和角色表是多对多的关系（一个用户可以有多个角色，一个角色有多个用户）
所以有会多生成两张关系表
一个菜单下面有多个组
一个组下面有多个菜单
一个菜单下面有多个权限

需要注意的点：
1、有些URL不需要权限判断，例如一些登录后能看到的公共界面，所以可以加入白名单。
2、不同的用户，对于增删改查有不同的权限，精确到粒度级别。
3、可以用到面向对象中的封装进行控制页面的按钮是否展示。