{{ event.start|date:"d.m.Y H:i" }} - {{ event.end|date:"d.m.Y H:i" }}
+ + {% has_rule 'calendar_app.change_event' user event as can_edit %} + {% if can_edit %} + + Редактировать + + {% endif %} + + {% has_rule 'calendar_app.delete_event' user event as can_delete %} + {% if can_delete %} + + {% endif %} +Вы не можете отправлять сообщения в этот чат
+{% endif %} + +{% for message in messages %} + +{% endfor %} + + +# В DRF permissions: +from rest_framework import permissions +import rules + +class ChatPermission(permissions.BasePermission): + def has_object_permission(self, request, view, obj): + if request.method in permissions.SAFE_METHODS: + return rules.test_rule('communications.view_chat', request.user, obj) + elif request.method in ['PUT', 'PATCH']: + return rules.test_rule('communications.change_chat', request.user, obj) + elif request.method == 'DELETE': + return rules.test_rule('communications.delete_chat', request.user, obj) + return False + + +class MessagePermission(permissions.BasePermission): + def has_object_permission(self, request, view, obj): + if request.method in permissions.SAFE_METHODS: + return rules.test_rule('communications.view_message', request.user, obj) + elif request.method in ['PUT', 'PATCH']: + return rules.test_rule('communications.change_message', request.user, obj) + elif request.method == 'DELETE': + return rules.test_rule('communications.delete_message', request.user, obj) + return False + + +# В WebSocket consumer: +from channels.generic.websocket import AsyncJsonWebsocketConsumer +import rules + +class ChatConsumer(AsyncJsonWebsocketConsumer): + async def connect(self): + chat_id = self.scope['url_route']['kwargs']['chat_id'] + chat = await database_sync_to_async(Chat.objects.get)(pk=chat_id) + + # Проверка доступа + if not await database_sync_to_async(rules.test_rule)( + 'communications.view_chat', self.scope['user'], chat + ): + await self.close() + return + + await self.accept() + # Добавляем в группу чата + await self.channel_layer.group_add(f'chat_{chat_id}', self.channel_name) + + async def receive_json(self, content): + action = content.get('action') + + if action == 'send_message': + chat = await database_sync_to_async(Chat.objects.get)(pk=self.chat_id) + + # Проверка прав на отправку + if not await database_sync_to_async(rules.test_rule)( + 'communications.send_message', self.scope['user'], chat + ): + await self.send_json({'error': 'Permission denied'}) + return + + # Сохранение сообщения + message = await database_sync_to_async(Message.objects.create)( + chat=chat, + author=self.scope['user'], + text=content['text'] + ) + + # Рассылка всем участникам + await self.channel_layer.group_send( + f'chat_{chat.pk}', + {'type': 'chat.message', 'message': message.to_dict()} + ) + + +# Фильтрация QuerySet (только доступные чаты): +from django.db.models import Q + +def get_accessible_chats(user): + return Chat.objects.filter( + Q(members=user) | # Участник чата + Q(is_public=True) | # Публичный чат + Q(department=user.department) # Чат отдела + ).distinct() +""" diff --git a/backend/documents/apps.py b/backend/documents/apps.py index d76e42f7..70360190 100644 --- a/backend/documents/apps.py +++ b/backend/documents/apps.py @@ -8,3 +8,4 @@ class DocumentsConfig(AppConfig): def ready(self): # импортируем сигналы, чтобы они подхватились import documents.notification_signals # noqa + import documents.rules # django-rules: регистрация предикатов и правил доступа diff --git a/backend/documents/rules.py b/backend/documents/rules.py new file mode 100644 index 00000000..eff25ee5 --- /dev/null +++ b/backend/documents/rules.py @@ -0,0 +1,296 @@ +""" +django-rules: декларативные правила доступа для documents + +Правила используются для проверки permissions на уровне объектов. +https://github.com/dfunckt/django-rules +""" + +import rules + + +# ----------------------------------------------------------------------------- +# ПРЕДИКАТЫ (predicates) +# ----------------------------------------------------------------------------- + +@rules.predicate +def is_superuser(user): + """Суперпользователь имеет все права""" + return user.is_superuser + + +@rules.predicate +def is_document_owner(user, document): + """Пользователь является создателем документа""" + if document is None: + return False + return document.created_by == user or document.owner == user + + +@rules.predicate +def is_document_author(user, document): + """Пользователь является автором документа""" + if document is None or not hasattr(document, 'author'): + return False + return document.author == user + + +@rules.predicate +def has_document_access(user, document): + """ + Пользователь имеет доступ к документу через: + - Публичный доступ (is_public) + - Доступ для отдела (department_access) + - Прямой доступ в списке разрешённых пользователей + """ + if document is None: + return False + + # Публичный документ + if hasattr(document, 'is_public') and document.is_public: + return True + + # Доступ для отдела + if hasattr(document, 'department_access') and hasattr(user, 'department'): + if document.department_access and document.department_access == user.department: + return True + + # Прямой доступ через ManyToMany (если есть поле shared_with или allowed_users) + if hasattr(document, 'shared_with'): + if user in document.shared_with.all(): + return True + + if hasattr(document, 'allowed_users'): + if user in document.allowed_users.all(): + return True + + return False + + +@rules.predicate +def can_approve_documents(user): + """ + Пользователь может согласовывать документы. + Адаптируйте под вашу логику (по должности, группе и т.д.) + """ + if not hasattr(user, 'position'): + return False + + position_name = getattr(user.position, 'name', '').lower() + return any(keyword in position_name for keyword in [ + 'руководитель', 'начальник', 'директор', 'заведующий' + ]) + + +@rules.predicate +def is_document_approver(user, document): + """Пользователь назначен согласующим для этого документа""" + if document is None: + return False + + # Проверка через связь approvers, если есть + if hasattr(document, 'approvers'): + return user in document.approvers.all() + + # Проверка через связь approval_chain (если используется цепочка согласования) + if hasattr(document, 'approval_chain'): + return document.approval_chain.filter(approver=user).exists() + + return False + + +@rules.predicate +def is_same_department(user, document): + """Документ относится к отделу пользователя""" + if document is None or not hasattr(user, 'department'): + return False + + if hasattr(document, 'department'): + return document.department == user.department + + return False + + +@rules.predicate +def is_document_category_manager(user, document): + """ + Пользователь является менеджером категории документа. + Адаптируйте под вашу структуру категорий. + """ + if document is None or not hasattr(document, 'category'): + return False + + category = document.category + if hasattr(category, 'managers'): + return user in category.managers.all() + + return False + + +# ----------------------------------------------------------------------------- +# ПРАВИЛА (rules) +# ----------------------------------------------------------------------------- + +# Просмотр документа +rules.add_rule( + 'documents.view_document', + is_superuser | is_document_owner | is_document_author | has_document_access +) + +# Изменение документа (только владелец и автор) +rules.add_rule( + 'documents.change_document', + is_superuser | is_document_owner | is_document_author +) + +# Удаление документа (только владелец и superuser) +rules.add_rule( + 'documents.delete_document', + is_superuser | is_document_owner +) + +# Согласование документа (согласующие + руководители) +rules.add_rule( + 'documents.approve_document', + is_superuser | is_document_approver | can_approve_documents +) + +# Публикация документа (владелец + менеджеры категории) +rules.add_rule( + 'documents.publish_document', + is_superuser | is_document_owner | is_document_category_manager +) + +# Скачивание документа (все, кто имеет доступ на просмотр) +rules.add_rule( + 'documents.download_document', + is_superuser | is_document_owner | is_document_author | has_document_access +) + +# Выдача доступа другим пользователям (только владелец) +rules.add_rule( + 'documents.share_document', + is_superuser | is_document_owner +) + +# Просмотр истории изменений документа +rules.add_rule( + 'documents.view_document_history', + is_superuser | is_document_owner | is_document_author | is_document_category_manager +) + +# Просмотр всех документов отдела +rules.add_rule( + 'documents.view_department_documents', + is_superuser | can_approve_documents +) + + +# ----------------------------------------------------------------------------- +# PERMISSIONS ДЛЯ МОДЕЛЕЙ +# ----------------------------------------------------------------------------- + +# Если вы хотите переопределить стандартные Django permissions: +# rules.add_perm('documents.view_document', is_superuser | has_document_access) +# rules.add_perm('documents.change_document', is_superuser | is_document_owner) +# rules.add_perm('documents.delete_document', is_superuser | is_document_owner) +# rules.add_perm('documents.add_document', rules.is_authenticated) # Все авторизованные могут создавать + + +# ----------------------------------------------------------------------------- +# ИСПОЛЬЗОВАНИЕ В КОДЕ +# ----------------------------------------------------------------------------- + +""" +# В views: +from django.core.exceptions import PermissionDenied +import rules + +def document_detail(request, pk): + document = get_object_or_404(Document, pk=pk) + + # Проверка доступа + if not rules.test_rule('documents.view_document', request.user, document): + raise PermissionDenied + + return render(request, 'documents/detail.html', {'document': document}) + + +def document_approve(request, pk): + document = get_object_or_404(Document, pk=pk) + + # Проверка прав на согласование + if not rules.test_rule('documents.approve_document', request.user, document): + raise PermissionDenied + + # Логика согласования + document.status = 'approved' + document.approved_by = request.user + document.save() + + return redirect('documents:detail', pk=document.pk) + + +# В templates: +{% load rules %} + +{% has_rule 'documents.change_document' user document as can_edit %} +{% if can_edit %} + + Редактировать + +{% endif %} + +{% has_rule 'documents.approve_document' user document as can_approve %} +{% if can_approve and document.status == 'pending' %} + +{% endif %} + + +# В DRF permissions: +from rest_framework import permissions +import rules + +class DocumentPermission(permissions.BasePermission): + def has_object_permission(self, request, view, obj): + if request.method in permissions.SAFE_METHODS: + return rules.test_rule('documents.view_document', request.user, obj) + elif request.method in ['PUT', 'PATCH']: + return rules.test_rule('documents.change_document', request.user, obj) + elif request.method == 'DELETE': + return rules.test_rule('documents.delete_document', request.user, obj) + return False + + +# В queryset filtering (показывать только доступные документы): +from django.db.models import Q + +def get_accessible_documents(user): + # Документы, к которым есть доступ + return Document.objects.filter( + Q(created_by=user) | # Созданные пользователем + Q(owner=user) | # Принадлежащие пользователю + Q(is_public=True) | # Публичные + Q(department_access=user.department) | # Доступные для отдела + Q(shared_with=user) # Расшаренные для пользователя + ).distinct() + + +# Middleware для проверки доступа к файлам: +# (если файлы отдаются через X-Accel-Redirect или подобное) + +class DocumentAccessMiddleware: + def __init__(self, get_response): + self.get_response = get_response + + def __call__(self, request): + if request.path.startswith('/media/documents/'): + # Извлекаем документ по пути + document = self.get_document_from_path(request.path) + if document and not rules.test_rule('documents.view_document', request.user, document): + return HttpResponseForbidden("У вас нет доступа к этому документу") + + return self.get_response(request) +""" diff --git a/backend/employees/apps.py b/backend/employees/apps.py index f5f88ccb..64346ff7 100644 --- a/backend/employees/apps.py +++ b/backend/employees/apps.py @@ -8,3 +8,4 @@ class EmployeesConfig(AppConfig): def ready(self): import employees.signals import employees.signals_birthday # Сигналы для синхронизации дней рождений с django-scheduler + import employees.rules # django-rules: регистрация предикатов и правил доступа diff --git a/backend/employees/rules.py b/backend/employees/rules.py new file mode 100644 index 00000000..44a3be83 --- /dev/null +++ b/backend/employees/rules.py @@ -0,0 +1,186 @@ +""" +django-rules: декларативные правила доступа для employees + +Правила используются для проверки permissions на уровне объектов. +https://github.com/dfunckt/django-rules +""" + +import rules + + +# ----------------------------------------------------------------------------- +# ПРЕДИКАТЫ (predicates) +# ----------------------------------------------------------------------------- + +@rules.predicate +def is_superuser(user): + """Суперпользователь имеет все права""" + return user.is_superuser + + +@rules.predicate +def is_staff(user): + """Сотрудник (is_staff) имеет базовые права""" + return user.is_staff + + +@rules.predicate +def is_hr_staff(user): + """ + HR сотрудник - определяется по должности или группе. + Адаптируйте под вашу логику: по position, department, группе и т.д. + """ + if not hasattr(user, 'position'): + return False + position_name = getattr(user.position, 'name', '').lower() + return 'hr' in position_name or 'кадр' in position_name + + +@rules.predicate +def is_department_head(user): + """ + Руководитель отдела - определяется по должности. + Адаптируйте под вашу логику. + """ + if not hasattr(user, 'position'): + return False + position_name = getattr(user.position, 'name', '').lower() + return any(keyword in position_name for keyword in [ + 'руководитель', 'начальник', 'директор', 'заведующий', 'глава' + ]) + + +@rules.predicate +def is_own_profile(user, employee): + """Пользователь просматривает свой собственный профиль""" + if employee is None: + return False + return user.pk == employee.pk + + +@rules.predicate +def is_same_department(user, employee): + """Пользователь и сотрудник в одном отделе""" + if employee is None or not hasattr(user, 'department') or not hasattr(employee, 'department'): + return False + return user.department == employee.department + + +# ----------------------------------------------------------------------------- +# ПРАВИЛА (rules) +# ----------------------------------------------------------------------------- + +# Просмотр профиля сотрудника +rules.add_rule( + 'employees.view_employee', + is_superuser | is_staff | is_hr_staff | is_own_profile +) + +# Изменение профиля сотрудника +rules.add_rule( + 'employees.change_employee', + is_superuser | is_hr_staff | (is_own_profile & ~rules.always_deny) +) + +# Удаление сотрудника (только HR и superuser) +rules.add_rule( + 'employees.delete_employee', + is_superuser | is_hr_staff +) + +# Просмотр списка всех сотрудников +rules.add_rule( + 'employees.view_all_employees', + is_superuser | is_staff | is_hr_staff +) + +# Просмотр отчётов по персоналу (только HR и руководители) +rules.add_rule( + 'employees.view_reports', + is_superuser | is_hr_staff | is_department_head +) + +# Изменение должности сотрудника (только HR) +rules.add_rule( + 'employees.change_position', + is_superuser | is_hr_staff +) + +# Изменение отдела сотрудника (только HR) +rules.add_rule( + 'employees.change_department', + is_superuser | is_hr_staff +) + +# Просмотр контактной информации сотрудника +rules.add_rule( + 'employees.view_contact_info', + is_superuser | is_staff | is_own_profile | is_same_department +) + +# ----------------------------------------------------------------------------- +# PERMISSIONS ДЛЯ МОДЕЛЕЙ +# ----------------------------------------------------------------------------- + +# Если вы хотите переопределить стандартные Django permissions для модели: +# rules.add_perm('employees.view_employee', is_superuser | is_staff) +# rules.add_perm('employees.change_employee', is_superuser | is_hr_staff) +# rules.add_perm('employees.delete_employee', is_superuser | is_hr_staff) +# rules.add_perm('employees.add_employee', is_superuser | is_hr_staff) + + +# ----------------------------------------------------------------------------- +# ИСПОЛЬЗОВАНИЕ В КОДЕ +# ----------------------------------------------------------------------------- + +""" +# В views: +from django.core.exceptions import PermissionDenied + +def employee_detail(request, pk): + employee = get_object_or_404(Employee, pk=pk) + + # Проверка через has_perm (если правило зарегистрировано через add_perm) + if not request.user.has_perm('employees.view_employee', employee): + raise PermissionDenied + + # Или напрямую через rules.test_rule + if not rules.test_rule('employees.view_employee', request.user, employee): + raise PermissionDenied + + return render(request, 'employees/detail.html', {'employee': employee}) + + +# В templates: +{% load rules %} + +{% has_perm 'employees.change_employee' user employee as can_change %} +{% if can_change %} + Редактировать +{% endif %} + + +# В DRF permissions: +from rest_framework import permissions +import rules + +class EmployeePermission(permissions.BasePermission): + def has_object_permission(self, request, view, obj): + if request.method in permissions.SAFE_METHODS: + return rules.test_rule('employees.view_employee', request.user, obj) + elif request.method in ['PUT', 'PATCH']: + return rules.test_rule('employees.change_employee', request.user, obj) + elif request.method == 'DELETE': + return rules.test_rule('employees.delete_employee', request.user, obj) + return False + + +# В admin.py для object-level permissions: +from django.contrib import admin + +class EmployeeAdmin(admin.ModelAdmin): + def has_change_permission(self, request, obj=None): + if obj is None: + return super().has_change_permission(request, obj) + return rules.test_rule('employees.change_employee', request.user, obj) +""" diff --git a/backend/eusrr_backend/settings.py b/backend/eusrr_backend/settings.py index e083f2f0..a5885196 100644 --- a/backend/eusrr_backend/settings.py +++ b/backend/eusrr_backend/settings.py @@ -36,6 +36,7 @@ INSTALLED_APPS = [ "widget_tweaks", "simple_history", "rest_framework", + "rules", # django-rules для декларативных permissions # Celery приложения "django_celery_beat", # Периодические задачи "django_celery_results", # Хранение результатов @@ -347,6 +348,7 @@ AUTHENTICATION_BACKENDS = [ "eusrr_backend.auth_backends.SuperuserOnlyBackend", # экстренный доступ для админа # расчёт прав на основе должностей "eusrr_backend.auth_backends.PositionRoleBackend", + "rules.permissions.ObjectPermissionBackend", # django-rules для object-level permissions "django.contrib.auth.backends.ModelBackend", # стандартный Django бэкенд ] diff --git a/backend/feed/apps.py b/backend/feed/apps.py index a63d5cfc..4d10c85c 100644 --- a/backend/feed/apps.py +++ b/backend/feed/apps.py @@ -8,3 +8,4 @@ class FeedConfig(AppConfig): def ready(self): # Подключаем signals для уведомлений import feed.notification_signals # noqa + import feed.rules # django-rules: регистрация предикатов и правил доступа diff --git a/backend/feed/rules.py b/backend/feed/rules.py new file mode 100644 index 00000000..2bbe69a9 --- /dev/null +++ b/backend/feed/rules.py @@ -0,0 +1,386 @@ +""" +django-rules: декларативные правила доступа для feed (лента новостей) + +Правила используются для проверки permissions на уровне объектов. +https://github.com/dfunckt/django-rules +""" + +import rules + + +# ----------------------------------------------------------------------------- +# ПРЕДИКАТЫ (predicates) +# ----------------------------------------------------------------------------- + +@rules.predicate +def is_superuser(user): + """Суперпользователь имеет все права""" + return user.is_superuser + + +@rules.predicate +def is_post_author(user, post): + """Пользователь является автором поста""" + if post is None: + return False + + return post.author == user or post.created_by == user + + +@rules.predicate +def can_publish_posts(user): + """ + Пользователь может публиковать посты в ленте. + Адаптируйте под вашу логику (по должности, группе и т.д.) + """ + if not hasattr(user, 'position'): + return False + + position_name = getattr(user.position, 'name', '').lower() + + # Руководители, PR-менеджеры, секретари могут публиковать + return any(keyword in position_name for keyword in [ + 'руководитель', 'начальник', 'директор', 'секретарь', + 'pr', 'маркетинг', 'коммуникац' + ]) + + +@rules.predicate +def can_moderate_posts(user): + """Пользователь может модерировать посты (удалять чужие, редактировать)""" + return can_publish_posts(user) or is_superuser(user) + + +@rules.predicate +def is_public_post(user, post): + """Пост является публичным (доступен всем)""" + if post is None: + return False + + return getattr(post, 'is_public', True) + + +@rules.predicate +def is_department_post(user, post): + """Пост относится к отделу пользователя""" + if post is None or not hasattr(user, 'department'): + return False + + if hasattr(post, 'department'): + return post.department == user.department + + if hasattr(post, 'target_departments'): + return user.department in post.target_departments.all() + + return False + + +@rules.predicate +def is_comment_author(user, comment): + """Пользователь является автором комментария""" + if comment is None: + return False + + return comment.author == user or comment.created_by == user + + +@rules.predicate +def can_access_comment_post(user, comment): + """Пользователь имеет доступ к посту, где находится комментарий""" + if comment is None or not hasattr(comment, 'post'): + return False + + post = comment.post + return is_public_post(user, post) or is_department_post(user, post) + + +@rules.predicate +def is_post_pinned(user, post): + """Пост закреплён (может видеть любой сотрудник)""" + if post is None: + return False + + return getattr(post, 'is_pinned', False) + + +# ----------------------------------------------------------------------------- +# ПРАВИЛА (rules) +# ----------------------------------------------------------------------------- + +# Просмотр поста +rules.add_rule( + 'feed.view_post', + is_superuser | is_public_post | is_department_post | is_post_pinned | + is_post_author # Автор всегда видит свой пост, даже если он не опубликован +) + +# Создание поста +rules.add_rule( + 'feed.create_post', + is_superuser | can_publish_posts +) + +# Изменение поста +rules.add_rule( + 'feed.change_post', + is_superuser | is_post_author | can_moderate_posts +) + +# Удаление поста +rules.add_rule( + 'feed.delete_post', + is_superuser | is_post_author | can_moderate_posts +) + +# Публикация поста (изменение статуса draft → published) +rules.add_rule( + 'feed.publish_post', + is_superuser | (is_post_author & can_publish_posts) | can_moderate_posts +) + +# Закрепление поста +rules.add_rule( + 'feed.pin_post', + is_superuser | can_moderate_posts +) + +# Добавление комментария к посту +rules.add_rule( + 'feed.comment_post', + rules.is_authenticated # Любой авторизованный может комментировать +) + +# Просмотр комментария +rules.add_rule( + 'feed.view_comment', + is_superuser | can_access_comment_post +) + +# Изменение комментария +rules.add_rule( + 'feed.change_comment', + is_superuser | is_comment_author +) + +# Удаление комментария +rules.add_rule( + 'feed.delete_comment', + is_superuser | is_comment_author | can_moderate_posts +) + +# Лайк/реакция на пост +rules.add_rule( + 'feed.react_to_post', + rules.is_authenticated # Любой авторизованный может ставить реакции +) + +# Просмотр черновиков (draft posts) +rules.add_rule( + 'feed.view_drafts', + is_superuser | can_publish_posts +) + +# Просмотр статистики по постам +rules.add_rule( + 'feed.view_statistics', + is_superuser | can_publish_posts +) + + +# ----------------------------------------------------------------------------- +# ИСПОЛЬЗОВАНИЕ В КОДЕ +# ----------------------------------------------------------------------------- + +""" +# В views: +from django.core.exceptions import PermissionDenied +import rules + +def post_detail(request, pk): + post = get_object_or_404(Post, pk=pk) + + if not rules.test_rule('feed.view_post', request.user, post): + raise PermissionDenied("У вас нет доступа к этому посту") + + comments = post.comments.all() + return render(request, 'feed/post_detail.html', { + 'post': post, + 'comments': comments + }) + + +def post_create(request): + if not rules.test_rule('feed.create_post', request.user, None): + raise PermissionDenied("У вас нет прав на создание постов") + + if request.method == 'POST': + post = Post.objects.create( + author=request.user, + title=request.POST.get('title'), + content=request.POST.get('content'), + status='draft' + ) + return redirect('feed:post_detail', pk=post.pk) + + return render(request, 'feed/post_create.html') + + +def post_publish(request, pk): + post = get_object_or_404(Post, pk=pk) + + if not rules.test_rule('feed.publish_post', request.user, post): + return JsonResponse({'error': 'Нет прав на публикацию'}, status=403) + + post.status = 'published' + post.published_at = timezone.now() + post.save() + + return JsonResponse({'success': True}) + + +def add_comment(request, post_pk): + post = get_object_or_404(Post, pk=post_pk) + + if not rules.test_rule('feed.comment_post', request.user, None): + return JsonResponse({'error': 'Нет прав на комментирование'}, status=403) + + comment = Comment.objects.create( + post=post, + author=request.user, + text=request.POST.get('text') + ) + + return JsonResponse({'comment_id': comment.pk}) + + +# В templates: +{% load rules %} + +{# Список постов #} +{% for post in posts %} + {% has_rule 'feed.view_post' user post as can_view %} + {% if can_view %} +{{ post.content|truncatewords:50 }}
+Автор: {{ post.author }}, {{ post.created_at|date:"d.m.Y H:i" }}
+ + + Читать далее + + + {% has_rule 'feed.change_post' user post as can_edit %} + {% if can_edit %} + + Редактировать + + {% endif %} + + {% has_rule 'feed.delete_post' user post as can_delete %} + {% if can_delete %} + + {% endif %} + + {% has_rule 'feed.pin_post' user post as can_pin %} + {% if can_pin and not post.is_pinned %} + + {% endif %} +