django rest 权限同时允许 IsAdmin 和自定义权限

Question

我有一个views.py如下，

from webapi.permissions import IsOwner

class MemberDetail(generics.RetrieveUpdateDestroyAPIView):
    queryset = members.objects.all()
    serializer_class = MemberSerializer
    permission_classes = (permissions.IsAdminUser,IsOwner)

以下是自定义权限，用于检查用户是否是webapi.permissions中对象的所有者，

class IsOwner(permissions.BasePermission):
    def has_object_permission(self, request, view, obj):
            return obj.owner == request.user

现在的问题是检查他是否是管理员用户并授予更新/删除权限，但如果所有者是用户，它实际上应该授予编辑他的数据的权限，但在这种情况下它失败了。

在看到问题“Django Rest Framework won't let me have more than one permission”时，我尝试如下，但在使用 Or 时仍然无法正常工作，

class MemberDetail(generics.RetrieveUpdateDestroyAPIView):
    queryset = members.objects.all()
    serializer_class = MemberSerializer
    permission_classes = (Or(permissions.IsAdminUser,IsOwner))

如果我使用 Or 它在运行时失败并出现错误，因为“'Condition' object is not iterable”

Answer 1

由于 DRF 3.9，您可以使用逻辑位运算符 | 和 &（~ 已添加到 3.9.2）。

正如the docs 中所述，您只需要

    permission_classes = (permissions.IsAdminUser|IsOwner,)

Answer 2

如果您只需要为管理员和所有者用户授予编辑权限，您可以实现自定义权限类：

class IsOwnerOrAdmin(permissions.BasePermission):
    def has_object_permission(self, request, view, obj):
        if request.method in permissions.SAFE_METHODS:
            return True
        return obj.owner == request.user or request.user.is_admin

并且在视图中只使用这个：

permission_classes = [IsOwnerOrAdmin]

此方法记录在here。

Answer 3

您正在使用元组语法，但您需要逗号来充当元组
替换
permission_classes = (Or(permissions.IsAdminUser,IsOwner))
与
permission_classes = (Or(permissions.IsAdminUser,IsOwner), )