Django Guardian অবজেক্ট লেভেল পারমিশন

django-admin startproject permission_system
cd permission_system
python manage.py startapp documents

pip install djangorestframework django-guardian

# Installed apps
INSTALLED_APPS = [
    # Django default apps...
    'rest_framework',
    'guardian',
    'documents',  # Our app
]

# Authentication backends for Django Guardian
AUTHENTICATION_BACKENDS = (
    'django.contrib.auth.backends.ModelBackend',  # Default backend
    'guardian.backends.ObjectPermissionBackend',  # Guardian backend for object-level permissions
)

# Guardian settings
ANONYMOUS_USER_ID = -1

# documents/models.py
from django.db import models
from django.contrib.auth.models import User

class Company(models.Model):
    name = models.CharField(max_length=255)

    def __str__(self):
        return self.name

class Document(models.Model):
    name = models.CharField(max_length=255)
    content = models.TextField()
    company = models.ForeignKey(Company, on_delete=models.CASCADE)
    created_by = models.ForeignKey(User, on_delete=models.CASCADE)

    def __str__(self):
        return self.name

# documents/admin.py
from django.contrib import admin
from .models import Document, Company

admin.site.register(Document)
admin.site.register(Company)

python manage.py makemigrations
python manage.py migrate

# documents/serializers.py
from rest_framework import serializers
from .models import Document

class DocumentSerializer(serializers.ModelSerializer):
    class Meta:
        model = Document
        fields = '__all__'

# documents/views.py
from rest_framework import viewsets, status
from rest_framework.response import Response
from guardian.shortcuts import assign_perm, get_perms
from rest_framework.permissions import IsAuthenticated
from .models import Document
from .serializers import DocumentSerializer

class DocumentViewSet(viewsets.ModelViewSet):
    queryset = Document.objects.all()
    serializer_class = DocumentSerializer
    permission_classes = [IsAuthenticated]

    def perform_create(self, serializer):
        # নতুন ডকুমেন্ট তৈরি হলে ইউজারকে পারমিশন অ্যাসাইন করা হবে
        document = serializer.save(created_by=self.request.user)
        assign_perm('documents.view_document', self.request.user, document)
        assign_perm('documents.change_document', self.request.user, document)
        assign_perm('documents.delete_document', self.request.user, document)

    def list(self, request, *args, **kwargs):
        # ইউজারের পারমিশন চেক করা
        queryset = Document.objects.filter(company=request.user.profile.company)
        serializer = self.get_serializer(queryset, many=True)
        return Response(serializer.data)
    
    def update(self, request, *args, **kwargs):
        document = self.get_object()
        if 'change_document' not in get_perms(request.user, document):
            return Response({'detail': 'Permission Denied'}, status=status.HTTP_403_FORBIDDEN)
        return super().update(request, *args, **kwargs)
        
    def destroy(self, request, *args, **kwargs):
        document = self.get_object()
        # Check if the user has the permission to delete the document
        if 'delete_document' not in get_perms(request.user, document):
            return Response({'detail': 'Permission Denied'}, status=status.HTTP_403_FORBIDDEN)
        return super().destroy(request, *args, **kwargs)        

# documents/urls.py
from django.urls import path, include
from rest_framework.routers import DefaultRouter
from .views import DocumentViewSet

router = DefaultRouter()
router.register(r'documents', DocumentViewSet)

urlpatterns = [
    path('', include(router.urls)),
]

{
    "user_id": 1,
    "documents": [
        {
            "id": 101,
            "permissions": ["documents.view_document", "documents.change_document"]
        },
        {
            "id": 102,
            "permissions": ["documents.view_document", "documents.delete_document"]
        }
    ]
}

from rest_framework import serializers
from .models import Document

class DocumentSerializer(serializers.ModelSerializer):
    class Meta:
        model = Document
        fields = ['id', 'title', 'content', 'company']

from guardian.shortcuts import assign_perm, remove_perm, get_perms
# 'guardian' লাইব্রেরি থেকে assign_perm, remove_perm, এবং get_perms ফাংশন ইমপোর্ট করা হচ্ছে
# assign_perm: নির্দিষ্ট ইউজারকে নির্দিষ্ট অবজেক্টের ওপর পারমিশন অ্যাসাইন করতে ব্যবহার হয়
# remove_perm: ইউজার থেকে নির্দিষ্ট অবজেক্টের পারমিশন রিমুভ করে
# get_perms: ইউজারের নির্দিষ্ট অবজেক্টে কোন কোন পারমিশন আছে তা বের করে

from rest_framework.response import Response
# 'Response' ক্লাসটি ইমপোর্ট করা হচ্ছে যা API রিকোয়েস্টের রেসপন্স হিসেবে ডেটা পাঠাতে ব্যবহৃত হয়

from rest_framework.views import APIView
# 'APIView' ক্লাসটি ইমপোর্ট করা হচ্ছে, যা Django Rest Framework এ API ভিউ তৈরি করতে ব্যবহৃত হয়

from rest_framework import status
# 'status' ইমপোর্ট করা হচ্ছে, যা বিভিন্ন HTTP status কোডের জন্য ব্যবহৃত হয় (যেমন 200, 404 ইত্যাদি)

from django.contrib.auth.models import User
# Django এর বিল্ট-ইন ইউজার মডেল ইমপোর্ট করা হচ্ছে, যাতে আমরা ইউজার সম্পর্কিত কাজ করতে পারি

from .models import Document
# 'Document' মডেলটি ইমপোর্ট করা হচ্ছে, যা সম্ভবত আমাদের ডাটাবেসে ডকুমেন্ট সংরক্ষণ করে

class AssignDocumentPermissions(APIView):
    # 'AssignDocumentPermissions' নামে একটি ক্লাস তৈরি করা হয়েছে যা APIView এর ইনহেরিটেড ক্লাস
    # এই ক্লাসে POST মেথড ব্যবহার করে পারমিশন অ্যাসাইন, রিমুভ বা চেক করা হবে
    
    def post(self, request):
        # POST রিকোয়েস্টের জন্য একটি মেথড তৈরি করা হলো
        user_id = request.data.get('user_id')  
        # রিকোয়েস্ট থেকে user_id বের করা হচ্ছে
        
        documents = request.data.get('documents', [])
        # রিকোয়েস্ট থেকে documents তালিকা বের করা হচ্ছে, ডিফল্ট হচ্ছে একটি খালি তালিকা
        
        action = request.data.get('action', 'assign')
        # রিকোয়েস্ট থেকে action বের করা হচ্ছে, ডিফল্ট হচ্ছে 'assign'

        # ইউজার খুঁজে বের করা
        try:
            user = User.objects.get(id=user_id)
            # user_id দিয়ে ইউজার খুঁজছি
        except User.DoesNotExist:
            # যদি ইউজার না পাওয়া যায়
            return Response({"detail": "User not found"}, status=status.HTTP_404_NOT_FOUND)
            # 404 স্ট্যাটাস সহ 'User not found' বার্তা পাঠাচ্ছি
        
        # প্রতিটি ডকুমেন্ট এবং তার পারমিশন অ্যাসাইন বা ডিলিট করার জন্য প্রস্তুতি নিচ্ছি
        result = {}
        # পারমিশনের ফলাফল সংরক্ষণ করার জন্য একটি ডিকশনারি তৈরি করছি
        
        for doc_data in documents:
            # প্রতিটি ডকুমেন্ট ডেটার জন্য লুপ
            doc_id = doc_data.get('id')
            # ডকুমেন্টের আইডি নিয়ে আসছি
            
            permissions = doc_data.get('permissions', [])
            # ডকুমেন্টের পারমিশনগুলো নিয়ে আসছি
            
            try:
                document = Document.objects.get(id=doc_id)
                # doc_id দিয়ে ডকুমেন্ট খুঁজছি
            except Document.DoesNotExist:
                # যদি ডকুমেন্ট না পাওয়া যায়
                return Response({"detail": f"Document with ID {doc_id} not found"}, status=status.HTTP_404_NOT_FOUND)
                # 404 স্ট্যাটাস সহ ডকুমেন্ট না পাওয়ার বার্তা পাঠাচ্ছি
            
            # পারমিশন অ্যাসাইন, ডিলিট বা চেক করার জন্য
            if action == 'assign':
                # যদি অ্যাকশন 'assign' হয়
                for perm in permissions:
                    # প্রতিটি পারমিশনের জন্য লুপ
                    assign_perm(perm, user, document)
                    # ইউজার এবং ডকুমেন্টের জন্য পারমিশন অ্যাসাইন করছি
            
            elif action == 'remove':
                # যদি অ্যাকশন 'remove' হয়
                for perm in permissions:
                    # প্রতিটি পারমিশনের জন্য লুপ
                    if perm in get_perms(user, document):
                        # ইউজারের কাছে পারমিশন আছে কিনা তা চেক করছি
                        remove_perm(perm, user, document)
                        # ইউজারের কাছ থেকে পারমিশন রিমুভ করছি
            
            elif action == 'check':
                # যদি অ্যাকশন 'check' হয়
                user_perms = get_perms(user, document)
                # ইউজারের ডকুমেন্টের পারমিশন চেক করা
                result[doc_id] = user_perms
                # ফলাফল ডিকশনারিতে সংরক্ষণ করছি

        # যদি অ্যাকশন 'check' হয়
        if action == 'check':
            return Response({"detail": "Permissions fetched successfully!", "permissions": result}, status=status.HTTP_200_OK)
            # 200 স্ট্যাটাস সহ পারমিশনস পাঠাচ্ছি
        else:
            return Response({"detail": f"Permissions {action}ed successfully!"}, status=status.HTTP_200_OK)
            # 200 স্ট্যাটাস সহ সফলতার বার্তা পাঠাচ্ছি

from django.urls import path
from .views import AssignDocumentPermissions

urlpatterns = [
    # অ্যাসাইন/রিমুভ/চেক করার জন্য API URL
    path('permissions/', AssignDocumentPermissions.as_view(), name='assign_permissions'),
]

http://localhost:8000/api/assign-permissions/ 

{
    "user_id": 1,
    "documents": [
        {
            "id": 101,
            "permissions": ["document.view_document", "document.change_document", "document.delete_document"] 
        },
        {
            "id": 102,
            "permissions": ["document.view_document"]
        }
    ],
    "action": "assign"
}

{
    "detail": "Permissions assigned successfully!"
}