Permission

Permission

DRF의 Permission System

• 현재 요청에 대한 허용•거부를 결정하며 APIView 단위로 지정이 가능
  • AllowAny (디폴트 전역 설정) : 인증 여부에 상관없이 뷰 호출을 허용
  • IsAuthenticated : 인증된 요청에 한해서 뷰 호출 허용 (로그인이 되어있어야만 접근 허용)
  • IsAdminUser : Staff 인증 요청에 한해서 뷰 호출 허용
  • IsAuthenticatedOrReadOnly : 비인증 요청에게는 읽기 권한만 허용 (로그인이 되어 있지않아도 조회는 가능)
  • DjangoModelPermissons : 인증된 요청에 한하여 뷰 호출 허용, 추가로 장고 모델 단위 Permissions 체크
  • DjangoModelPermissionsOrAnonReadOnly : DjangoModelPermissions와 유사, 비인증 요청에게는 읽기만 허용
  • DjangoObjectPermissons : 비인증 요청은 거부, 인증된 요청은 Object에 대한 권한 체크 수행

# Permission
SAFE_METHODS = ('GET', 'HEAD', 'OPTIONS')

class AllowAny(BasePermission):
    def has_permission(self, request, view):
        return True
      
class IsAuthenticated(BasePermission):
    def has_permission(self, request, view):
        return request.user and request.user.is_authenticated
       
class IsAdminUser(BasePermission):
    def has_permission(self, request, view):
        return request.user and request.user.is_staff

class IsAuthorOrReadOnly(permissions.BasePermission):
    # 인증된 유저에 한해, 목록 조회/포스팅 등록 허용
    def has_permission(self, request, view):
        return request.user.is_authenticated
   
    # 작성자에 한해 레코드에 대한 수정/삭제 허용
    def has_object_permission(self, request, view, obj):
        # 조회 요청(GET, HEAD, OPTIONS)에 대해 인증여부 상관없이 허용
        if request.method in permissions.SAFE_METHODS:
            return True
        # PUT, DELETE 요청에 대해 작성자일 경우 요청 허용
        return obj.author == request.user

class IsAuthorUpdateOrReadOnly(permissions.BasePermission):
    def has_permission(self, request, view):
        return request.user.is_authenticated
   
    def has_object_permission(self, request, view, obj):
        if request.method in permissions.SAFE_METHODS:
            return True
        if request.method == 'DELETE':
            return request.user.is_superuser # 또는 .is_staff
        return obj.author == request.user

# Default 전역 설정 (settings.py)
REST_FRAMEWORK = {
    'DEFAULT_PERMISSION_CLASSES' : [
         'rest_framework.permissions.IsAuthenticated',
    ]
}


# APIView에서의 지정
from rest_framework.permissions import IsAuthenticated

class ExampleView(APIView):
    permissions_classes = [IsAuthenticated]
   
    def get(self, request, format=None):
        content = {'status' : 'request was permitted'}
        return Response(content)


# @api_view에서의 지정
from rest_framework.decorators import permission_classes

@api_view(['GET'])
@permission_classes([IsAuthenticated])
def example_view(request, format=None)
    content = {'status' : 'request was permitted'}
    returnn Response(content)

Custom Permission

• 모든 Permission 클래스는 다음 2가지 함수를 선택적으로 구현
  • has_permission(request, view)
    • APIView 접근 시 체크
    • 거의 모든 Permission 클래스에서 구현되며 로직에 따라 True/False 반환
  • has_object_permission(request, view, obj)
    • APIView의 get_object 함수를 통해 object 획득 시에 체크
    • 기존의 Mixin 상속 받을 경우RetrieveModelMixin, UpdateModelMixi, DestroyModelMixin에서 get_object() 사용
    • DjangoObjectPermissions에서 구현하며 로직에 따라 True/False 반환

• 기본적으로 Custom Permission들은 BasePermission을 상속받아 작성하게 됨
  • Permission에 has_object_permission이 아닌 has_permission은 해당 요청이 들어올 때 항상 실행이 됨
  • has_object_permission이 들어오기 전에도 has_permission을 우선 거친 후 실행이 되고 APIView에서 역시 자동으로 실행이 됨
  • 하지만 has_object_permission의 경우 별도의 호출 과정이 필요

# Custom Permission
from django.contrib.auth import get_user_model
from rest_framework.permissions import BasePermission, SAFE_METHODS

class IsOwnerOnly(BasePermission):
    # 작성자만 접근
    def has_object_permission(self, request, view, obj):
        if request.user.is_authenticated:
            # 관리자
            if request.user.role == '10':
                return True
            elif hasattr(obj, 'profile'):
                return obj.profile.id == request.user.id
            elif obj.__class__ == get_user_model():
                return obj.id == request.user.id
            return False
        else:
            return False