Как правильно организовать доступ в django rest framework?

Question

[Klaus Kater]

Здравствуйте. Недавно начал изучать джанго рест фреймворк. Возник вопрос.
Как лучше организовать доступ к объекту? например профиль пользователя, понятно что владелец профиля должен мочь его редактировать в рамках разумного, а авторизованные пользователи его просматривать.
Вроде по логике фреймворка, логичней это разделенине сделать на уровне сериализаторов, но я так и не понял как объяснить сериализатору фильтр по хозяину профиля.
Так же можно сделать это на уровне вьюх.. но тут тоже много непонятного.
В учебнике вот такой пример с фильтром на вьюхе

class PurchaseList(generics.ListAPIView):
    serializer_class = PurchaseSerializer
    def get_queryset(self):
        user = self.request.user
        return Purchase.objects.filter(purchaser=user)

Но меня очень смутил способ включения в урл

url('^purchases/(?P<username>.+)/$', PurchaseList.as_view()),

Вот должен же быть способ сделать все это правильней ) через сериализаторы, или хотя бы ModelViewSet

Answer 1

[un1t]

Используй ModelViewSet
там есть permission_classes
www.django-rest-framework.org/api-guide/permissions

Comments

[Klaus Kater]

Пермишены ограничивают доступ к сериализатору, но не к сериализуемым объектам, т.е. пользователь которого пропускает пермишн, получает доступ ко всем профилям, а не только к своему. Я уже поковырялся в этом вопросе )) нужет фильтр, но непонятно как его привязать к моделвью или сериализатору.

[un1t]

Klaus Kater: не так
.has_permission(self, request, view)
.has_object_permission(self, request, view, obj)

[Klaus Kater]

Кажется я что то делаю не так.

class IsObjectOwnerPermission(permissions.BasePermission):
def has_object_permission(self, request, view, obj):
try:
return obj.owner == request.user or obj.user == request.user
except AttributeError, e:
return False

class OwnerProfileSerializer(serializers.ModelSerializer):
class Meta:
model = Profile
fields = ('user', 'phone', 'gold', 'status', 'penalty')
permission_classes = (IsObjectOwnerPermission,)

class OwnerProfileViewSet(viewsets.ModelViewSet):
queryset = Profile.objects.all()
model = Profile
serializer_class = OwnerProfileSerializer

В ответе на гет, все равно все профили.

[Klaus Kater]

глупость написал, но все равно не работает.
class IsObjectOwnerPermission(permissions.BasePermission):
def has_object_permission(self, request, view, obj):
try:
if obj.owner:
return obj.owner == request.user
return obj.user == request.user
except AttributeError, e:
return False

[un1t]

Klaus Kater: блин, чувак, ты хоть код отформатируй, а во вторых определи метод has_permission

[Klaus Kater]

Извиняюсь за форматирование, тостер в коментариях его съедает ((
Метод has_permission - обязательный? Пока не понимаю какую погоду он должен сделать.

[un1t]

В комментариях работает такое же форматирвание как и в посте. Обязательный, сначала вызывается это метод.