Права администратора django - может редактировать пользователя, но не может редактировать его разрешения - как это сделать? - PullRequest
Новая
       7

Права администратора django - может редактировать пользователя, но не может редактировать его разрешения - как это сделать?

2 голосов
/ 01 декабря 2009

Я дал редакции такие разрешения:

  • auth | пользователь | можно добавить / изменить пользователя - ON

  • auth | разрешения | можно добавлять / изменять разрешения - OFF

Тем не менее при редактировании они могут изменять свои разрешения (и разрешать себе действия, которые они не должны выполнять). Я нашел билет от 2 лет назад: http://code.djangoproject.com/ticket/6519, и он все еще работает таким образом.

Как разрешить редактирование пользователя (электронная почта, пароли и т. Д.), Но изменить права доступа?

Ответы [ 2 ]

1 голос
/ 13 сентября 2011

Приведенный ниже код дает вам возможность переопределить набор форм, что существенно ограничивает возможность не-суперпользователей редактировать разрешения. Они по-прежнему могут создавать пользователей, но не могут изменять разрешения. Они даже могут редактировать пользователей просто отлично. 

class UserAdmin(UserAdmin):

    def change_view(self, request, object_id):

        # we want to limit the ability of the normal user to edit permissions.
        if request.user.is_superuser:
            self.fieldsets = (
                (None, {'fields': ('username', 'password')}),
                (_('Personal info'), {'fields': ('first_name', 'last_name', 'email')}),
                (_('Permissions'), {'fields': ('is_active', 'is_staff', 'is_superuser', 'user_permissions')}),
                (_('Important dates'), {'fields': ('last_login', 'date_joined')}),
                (_('Groups'), {'fields': ('groups',)}),
            )
        else:
            self.fieldsets = (
                (None, {'fields': ('username', 'password')}),
                (_('Personal info'), {'fields': ('first_name', 'last_name', 'email')}),
                #(_('Permissions'), {'fields': ('is_active', 'is_staff', 'is_superuser', 'user_permissions')}),
                (_('Important dates'), {'fields': ('last_login', 'date_joined')}),
                #(_('Groups'), {'fields': ('groups',)}),
            )


        return super(UserAdmin, self).change_view(request, object_id,
            )
1 голос
/ 01 декабря 2009

Боюсь, ваш нынешний подход не сработает.

Из документов Django :

Если у вас есть разрешение на добавление пользователей, вы можете создавать суперпользователей, которые могут, в свою очередь, изменять других пользователей.

Так что, если вам удастся заблокировать редакторы от изменения разрешений, это не поможет, потому что они могут создавать суперпользователей, которые могут.

...