Django DRF实现用户数据权限控制

在 Django DRF 中使用 ModelViewSet 时，若需实现用户仅能查看和操作自己的数据详情，同时允许所有认证用户访问列表，需结合权限类和动态权限分配。以下是具体步骤：

1. 自定义对象权限类

创建一个 IsOwner 权限类，检查请求用户是否为对象所有者：

python
from rest_framework import permissionsclass IsOwner(permissions.BasePermission):def has_object_permission(self, request, view, obj):# 确保只有所有者可以执行对象级别的操作（如详情、更新、删除）return obj.owner == request.user
### 2. 在 ModelViewSet 中动态分配权限

覆盖 get_permissions 方法，根据不同操作应用不同权限：

python
from rest_framework import viewsets, permissions
from .models import MyModel
from .serializers import MyModelSerializerclass MyModelViewSet(viewsets.ModelViewSet):queryset = MyModel.objects.all()serializer_class = MyModelSerializerdef get_permissions(self):# 针对列表和创建操作，仅需用户认证if self.action in ['list', 'create']:permission_classes = [permissions.IsAuthenticated]else:# 针对详情、更新、删除，需认证且是所有者permission_classes = [permissions.IsAuthenticated, IsOwner]return [permission() for permission in permission_classes]

3. 过滤列表数据（推荐）

通常更安全的做法是过滤列表仅显示用户自己的数据，避免信息泄露：

python
def get_queryset(self):# 确保用户只能看到自己的数据return MyModel.objects.filter(owner=self.request.user)

此时权限类只需 IsAuthenticated，因为列表和详情已通过过滤限制数据访问：

python
class MyModelViewSet(viewsets.ModelViewSet):permission_classes = [permissions.IsAuthenticated]def get_queryset(self):return MyModel.objects.filter(owner=self.request.user)