Как лучше всего разрешить изменение прав в зависимости от некоторых условий в django rest framework?

Question

Я создаю api с Django rest framework, и я использую ModelViewSet с CustomObjectPermissions, и он отлично работает для любого пользователя с нужным разрешением, но я хочу знать, как я могу разрешить любому пользователю обновлять свой собственный профиль? Я имею в виду, что этот пользователь не может обновлять других пользователей, но если идентификатор пользователя является текущим идентификатором пользователя, он может обновить некоторые столбцы. У этого пользователя нет разрешения django, у него есть только доступ к приложению. Наконец, я хочу использовать его с DjangoObjectPermissions.

Views.py здесь Я хочу разрешить любому пользователю обновлять свой профиль

from rest_framework_simplejwt.views import TokenObtainPairView
from rest_framework import status, permissions, generics, viewsets
from rest_framework.response import Response
from rest_framework.views import APIView

from .serializers import MyTokenObtainPairSerializer, UserSerializer
from .models import User
from authentication.permisssions import CustomObjectPermissions

class ObtainTokenPairView(TokenObtainPairView):
    permission_classes = (permissions.AllowAny,)
    serializer_class = MyTokenObtainPairSerializer


class UserViewSet(viewsets.ModelViewSet):
    """
    API endpoint that allows users to be viewed or edited.
    """
    permission_classes = (CustomObjectPermissions,)
    queryset = User.objects.all().order_by('-date_joined')
    serializer_class = UserSerializer

permissions.py

from rest_framework import  permissions

class CustomObjectPermissions(permissions.DjangoObjectPermissions):
    """
    Similar to `DjangoObjectPermissions`, but adding 'view' permissions.
    """
    perms_map = {
        'GET': ['%(app_label)s.view_%(model_name)s'],
        'OPTIONS': ['%(app_label)s.view_%(model_name)s'],
        'HEAD': ['%(app_label)s.view_%(model_name)s'],
        'POST': ['%(app_label)s.add_%(model_name)s'],
        'PUT': ['%(app_label)s.change_%(model_name)s'],
        'PATCH': ['%(app_label)s.change_%(model_name)s'],
        'DELETE': ['%(app_label)s.delete_%(model_name)s'],
    }

Answer 1

Вам необходимо создать собственное разрешение, чтобы пользователь мог редактировать только свои собственные профили. Добавьте следующий класс разрешений в свой permissions.py

from rest_framework import permissions


class IsOwnerOrReadOnly(permissions.BasePermission):
    """
    Custom permission to only allow owners of an object to edit it.
    """

    def has_object_permission(self, request, view, obj):
        # Read permissions are allowed to any request,
        # so we'll always allow GET, HEAD or OPTIONS requests.
        if request.method in permissions.SAFE_METHODS:
            return True

        # Write permissions are only allowed to the owner of the snippet.
        return obj.created_by == request.user