保存在Django的REST框架嵌套的單個對象

Question

我有3個對象 - 企業，專家和RecentProject其中RecentProject有ForeignKey的對公司和多對多關係專家：

class RecentProject(BaseProfileObject): 
    company = models.ForeignKey(
     'experts.Company', 
     verbose_name=_("Company"), 
     blank=True, 
     null=True, 
     related_name='projects') 
    experts = models.ManyToManyField(
     "Expert", 
     verbose_name=_("Experts"), 
     blank=True, 
     null=True, 
     related_name='projects') 
    class Meta: 
     verbose_name = _("Recent project") 
     verbose_name_plural = _("Recent projects") 

什麼，我要的是能夠發佈新從終點最近的一個項目像

API/V1 /公司/ 1/recentprojects /和API/V1 /專家/ 1/recentprojects/

在第一種情況下的seralizer應該能夠驗證（或者說做權限檢查）如果用戶可以更改公司和在第二種情況下，如果用戶可以對專家進行更改。 我似乎無法找到的是一個如何使權限知道父對象（第一個案例中的公司和第二個案例中的專家）的示例。

據我所知，它可以與權限來完成，所以我創建的權限，如：

class UserCanModifyCompany(permissions.BasePermission): 
    def has_permission(self, request, view): 
     # Do check here 
     return False 

而且我把它添加到我的視圖集： 類RecentProjectViewSet（viewsets.ModelViewSet）： 查詢集= RecentProject.objects。所有（） serializer_class = RecentProjectSerializer

@permission_classes((UserIsAuthenticatedExpert, UserCanModifyCompany)) 
def create(self, request, *args, **kwargs): 
    return super(RecentProjectViewSet, self).create(request, *args, **kwargs) 

@permission_classes((UserIsAuthenticatedExpert, UserCanModifyCompany)) 
def update(self, request, *args, **kwargs): 
    return super(RecentProjectViewSet, self).update(request, *args, **kwargs) 

但我怎樣才能確保權限檢查具有可用於公司/專家訪問檢查信息。或者，我是否需要爲公司/專家最近的項目保存創建不同的視圖集，併爲它們設置不同的權限類？

Answer 1

首先，爲同一資源創建兩個不同的端點不是一個好主意。我建議你使用單個端點：api/v1/recentprojects/。 話雖如此，我一直處於類似的情況，我認爲你最好的選擇是使用@detail_route對公司和專家的觀點集。 例如，在你的ExpertViewSet：

@detail_route(methods=['post'], , permission_classes=[UserIsAuthenticatedExpert, UserCanModifyCompany]) 
    def recentprojects(self, request, pk=None): 
     expert = self.get_object() 
     serializer = RecentProjectSerializer(data=request.data) 
     if serializer.is_valid(): 
      recent_project = serializer.save(company=somecompany) 
      recent_project.experts.add(expert) 
      return Response({'status': 'ok'}) 
     else: 
      return Response(serializer.errors, 
          status=status.HTTP_400_BAD_REQUEST) 

這將讓你近期發佈新項目api/v1/experts/{pk}/recentprojects/。 至於權限，則需要實現has_object_permission，因爲這是一個單獨的對象端點：

class UserIsAuthenticatedExpert(permissions.BasePermission): 

    def has_object_permission(self, request, view, obj): 
     return some_condition 

您還可以self.action覆蓋get_queryset一起過濾專家或公司實例端點可以操作，但是這將提高404錯誤，而不是403.