基于RBAC权限验证， 中间价middleware实现, views 登录视图代码

废话不多说  上代码：

rom django.shortcuts import HttpResponse, redirect, render
from django.http import FileResponse, JsonResponse

from rbac.models import *


def login(request):
    if request.method == "POST":
        user = request.POST.get("user")
        pwd = request.POST.get("pwd")

        current_user = UserInfo.objects.filter(name=user, password=pwd).first()
 '''SELECT "rbac_userinfo"."id", "rbac_userinfo"."name", "rbac_userinfo"."password", "rbac_userinfo"."email" 
    FROM "rbac_userinfo" 
    WHERE ("rbac_userinfo"."name" = 'alex' AND "rbac_userinfo"."password" = '123') 
    ORDER BY "rbac_userinfo"."id" ASC  LIMIT 1; '''
        if not current_user:
            return render(request, "login.html", {"msg": "username or password is wrong"})

        # 根据当前用户信息，获取当前用户所拥有的所有的权限(queryset对象 是不能直接放入，session中的)
        permission_queryset = current_user.roles.filter(permissions__isnull=False).values("permissions__url").distinct()
'''
SELECT DISTINCT "rbac_permission"."url" FROM "rbac_role" 
    INNER JOIN "rbac_userinfo_roles" 
        ON ("rbac_role"."id" = "rbac_userinfo_roles"."role_id") 
    INNER JOIN "rbac_role_permissions" 
        ON ("rbac_role"."id" = "rbac_role_permissions"."role_id") 
    INNER JOIN "rbac_permission" 
        ON ("rbac_role_permissions"."permission_id" = "rbac_permission"."id") 
    WHERE ("rbac_userinfo_roles"."userinfo_id" = 1 AND "rbac_role_permissions"."permission_id" IS NOT NULL);
'''

        # 根据得到的queryset 循环遍历， 得到其中的 每一个权限的 url. 然后将每一个url 放入一个列表中。进而保存到session
        permission_list = [item.get("permissions__url") for item in permission_queryset]
        print(permission_list)
        request.session["permissions__url"] = permission_list
        return redirect("/customer_list/")
    return render(request, "login.html", locals())

from django.utils.deprecation import MiddlewareMixin
from django.shortcuts import HttpResponse, redirect
import re

class CheckPermission(MiddlewareMixin):
    '''用户权限信息的校验'''
    def process_request(self, request):
        '''当用户请求进入时 触发执行'''
        '''
        1. 获取当前用户请求的url
        2. 获取当前用户在session中保存的 权限列表 [......]
        3. 当前请求url 在 session中， 就可以，进行访问
        '''
'''有时我们需要 一些url无需权限， 就可以登录。 比如login登录页面， amdin后台管理(这个不需要我们的中间件去控制权限，所以这里直接放过)'''
'''我们尽量使用re 的正则匹配来做这件 事情。因为 我们不可能把 所有的url 都写一遍放到 白名单中。'''
'''我这里使用的是 re.match() 他的作用是， 从一个字符串的起始位置 开始匹配一个模式。 如果第一个字符就不匹配 就直接返回None'''
''' re.match('/admin/',"/admin/")可以匹配成功， re.match('/admin/',"/admin/asdkd/asd")也是可以匹配成功的。
    所以已admin起始的url都属于白名单'''

　　　　 valid_url_list = ["/login/", "/admin/"]  # 一个白名单
        current_url = request.path_info  # 得到当前访问的url
        for valid_url in valid_url_list:
            if re.match(valid_url, current_url):  # 白名单中的url 无需权限验证
                return None 
            # 我这里的return None 意思是： 如果在白名单中 我这里就直接return 函数中后续的代码就不会去执行，也就是不会再去
            # 进行验证的操作。  但是因为return 的是 None， 并不会影响整体的流程， 依然会继续执行后面的中间件,视图函数。
            # 如果 不是return None 的话。就不会走到视图函数中。

        permission_list = request.session.get("permissions__url")  # 得到保存在session中的 权限信息。

        if not permission_list:
            '''用户未登录前 session为空, 所以直接返回就好了'''
            return HttpResponse("您没有访问权限...请联系管理员")

        # permission_list 中的url 是包含正则的。 所以要使用re模块来进行验证
        flag = False
        # 需要注意的是，列表循环。进行匹配 只要有一个能匹配成功就可以访问， 所以未匹配成功 也不能够影响后面的匹配
        # 所以 就不能使用else。
        # 所以 添加一个flag变量 默认为False 只要有一个成功，flag就为Ture, 最终通过判断flag 确定是否拥有访问权限
        for url in permission_list:
            reg = "^%s$" % url  # 正则匹配match 都是从其实开始匹配，但是没有限定结束。
            # 所以要给当前的url  添加 ^ $ 开始和终止符。
            if re.match(reg, current_url):
                flag = True
                break  # 只要有一个匹配成功，就直接退出，剩下的就不需要进行匹配了
        if not flag:
            return HttpResponse("无权访问")

middleware