使用rest_framework.permissions进行API的角色和权限控制

在Django中，使用rest_framework.permissions模块可以方便地进行API的角色和权限控制。permissions模块提供了一些内置的权限类，也可以自定义权限类来实现特定的权限控制逻辑。

首先需要在Django的settings.py文件中配置REST_FRAMEWORK的权限类：

REST_FRAMEWORK = {
    'DEFAULT_PERMISSION_CLASSES': [
        'rest_framework.permissions.IsAuthenticated',  # 验证用户是否已经通过身份验证
    ],
}

在每个视图类中，可以通过设置permission_classes属性来指定需要的权限类。下面是一些常用的权限类及其使用示例：

1. IsAuthenticated：验证用户是否已经通过身份验证。

from rest_framework.permissions import IsAuthenticated

class ExampleView(APIView):
    permission_classes = [IsAuthenticated]

    def get(self, request):
        return Response("Only authenticated users can access this endpoint.")

2. AllowAny：允许任何用户访问该视图。

from rest_framework.permissions import AllowAny

class ExampleView(APIView):
    permission_classes = [AllowAny]

    def get(self, request):
        return Response("Any user can access this endpoint.")

3. IsAdminUser：验证用户是否为管理员用户。

from rest_framework.permissions import IsAdminUser

class ExampleView(APIView):
    permission_classes = [IsAdminUser]

    def get(self, request):
        return Response("Only admin users can access this endpoint.")

4. DjangoModelPermissions：基于Django模型级别的权限，允许对资源执行特定动作的用户进行授权。

from rest_framework.permissions import DjangoModelPermissions

class ExampleViewSet(viewsets.ModelViewSet):
    queryset = Example.objects.all()
    serializer_class = ExampleSerializer
    permission_classes = [DjangoModelPermissions]

    def create(self, request, *args, **kwargs):
        # 只有有添加权限的用户可以创建资源
        return super().create(request, *args, **kwargs)

除了使用内置的权限类外，还可以创建自定义的权限类来实现特定的权限控制逻辑。自定义权限类需要继承自BasePermission类，并实现has_permission方法：

from rest_framework.permissions import BasePermission

class CustomPermission(BasePermission):
    def has_permission(self, request, view):
        # 自定义权限逻辑
        if request.user.is_authenticated:
            if request.user.username == 'admin':
                return True
        return False

class ExampleView(APIView):
    permission_classes = [CustomPermission]

    def get(self, request):
        return Response("Only the admin user can access this endpoint.")

以上是使用rest_framework.permissions进行API的角色和权限控制的一些示例，可以根据具体的业务需求选择合适的权限类或自定义权限类来进行权限控制。