最终用户的 Django AdminSite/ModelAdmin？

Question

并非所有软件都需要左侧的“内容制作者”管理界面和右侧的“访问者/成员”站点。

人们常说“管理员不是您的应用程序”(参见示例 the accepted answer (March 2009))。

我在 Django 文档中找不到明确提到的这种限制。
以上似乎有一个基本假设-“a powerful and production-ready interface that content producers can immediately use to start adding content to the site”-但是different levels of access are certainly anticipated, even mentioned in the FAQ .多个 AdminSite 实例还有哪些其他用例？

我目前正在开发一个主要是 CRUD 界面的软件。每个用户都必须经过身份验证，管理员用户和客户之间的唯一区别是后者只能使用“他们的”对象(并且不能访问某些模型，如“用户”等)。 By the way "their" in my case not related to who created the object, but rather which "Company" its associated with .

是否有任何令人信服的理由不坚持使用管理界面，而只是配置正确的权限组合？可以信任 ModelAdmin 权限吗？为什么不直接称所有登录用户为“员工”？

对于传统的非管理员 View ，我看到自己正在重写似乎已经存在的内容:ModelForm 是一个不错的开始，但 CRUD 功能和依赖于类型的过滤器(包括日期向下钻取)不是现成的组件。 Admin 的功能已经提供了最终用户需要的绝大多数功能，并且自定义字段/过滤器/模板等足以满足我的需求。显然我在哪里添加了一个新功能，例如其按钮的可见性和对相应 View 的访问需要权限检查。我对此并不担心。我只是好奇在这种情况下，Admin 功能是否被其内置的权限集正确覆盖。有这方面的经验吗？

更新:抱歉，这个问题的主要部分似乎不清楚。我不担心我的自定义，我担心信任现有的管理应用程序及其权限实现。另见 Daniel 和 FallenAngel 的评论。

Answer 1

admin 本身并没有什么特别之处。 .它的行为就像任何其他 View 一样。因此，如果它使用权限来确定访问权限(例如，如果您将用户的 .is_staff 设置为 True，但只授予他们特定权限的访问权限)，那么对于您可能创建的使用权限确定访问权限。

同样，您提供给 ModelAdmin 的自定义将导致实现与您可能编写的任何内容一样安全。

如果您编写自定义 has_change_permission对于您的模型，例如:

def has_change_permission(self, request, obj=None):
    return obj.company == request.user.get_profile().company

这将起作用。它不仅仅是隐藏一个按钮。它将完全阻止该对象被编辑。

写信的人 django.contrib.admin没有假设任何人拥有 is_staff = True可以像 super 用户一样受到信任，或者愚蠢到从不看网页的源代码。尽管鼓励编写自己的 View ，但它仍然是一个健壮的界面。

例如，参见 this section of the source code这引发了 PermissionDenied如果您尝试访问 change_view 则会出现异常未经许可编辑实际对象:

def change_view(self, request, object_id, extra_context=None):
    "The 'change' admin view for this model."
    model = self.model
    opts = model._meta

    obj = self.get_object(request, unquote(object_id))

    if not self.has_change_permission(request, obj):
        raise PermissionDenied

    # view continues...

因此，即使有人要制作正确的 URL 来编辑给定的对象，只要您正确实现了 has_change_permission用户将被拒绝访问。