Игорь Надеин
25ae9a40b8
### Основное * Политика доступа для документов: * **CRUD** — только `is_staff` или обладатели модельных прав (`add/change/delete_document`). * **Чтение/скачивание/ACK** — любой **аутентифицированный**, но **только** свои документы (получатель активен) или если `sent_to_all=True`. * Для календаря: `GET /api/v1/calendar/events/` (компания) доступен авторизованным пользователям. ### permissions / views * Введён `DocumentReadOrModelPerms` на базе `DjangoModelPermissions`: * `GET/HEAD/OPTIONS` не требуют model-perms (только `IsAuthenticated`). * Объектно: staff/любой model-perm → доступ; иначе только `sent_to_all` или пользователь в `recipients(is_active=True)`. * Небезопасные методы требуют `add/change/delete_document` (или staff); **не требуем** дополнительно `view_document`. * `DocumentViewSet.get_queryset()` фильтрует **list** для пользователей без `view_document`: только `sent_to_all` и документы, где текущий пользователь — активный получатель. * Экшен `acknowledge` больше не переопределяет `permission_classes`; вызывается `self.get_object()` → срабатывает объектная проверка доступа. * (dev) Раздача медиа: убедились, что подключён `urlpatterns += static(settings.MEDIA_URL, document_root=settings.MEDIA_ROOT)` — скачивание по `file_url` отдаёт `200`. ### serializers * Добавлен `RecipientIDsField`: принимает `recipient_ids` в форматах **repeat-params / JSON-строка / CSV**, корректно читает `QueryDict.getlist()`. * `DocumentWriteSerializer`: * `file` теперь **необязателен** на PUT/PATCH, обязателен на POST (проверяется в `validate()`). * Валидация `sent_to_all`/`recipient_ids` учитывает текущее состояние при апдейте; пустой список при `sent_to_all=False` запрещён. * `_set_recipients()` назначает **только активных** пользователей и очищает список при `sent_to_all=True`. * `validate_file()` — отказ по лимиту размера (`DATA_UPLOAD_MAX_MEMORY_SIZE`) с 400. * `DocumentReadSerializer` — `file_url` через `FileField(source="file")`, `is_acknowledged` рассчитывается корректно. ### create response * В `DocumentViewSet.create()` рассчитываем `recipient_count` из **нормализованных входных ID** (до `save()`), считая только активных; при `sent_to_all=True` возвращаем `0`. ### employees * `EmployeeBriefSerializer` дополнен полем `full_name` (для тестов сериализации документов). ### Исправленные тесты/регрессии * `TestCreate::test_create_sent_to_all_false_with_recipients_variants` — теперь `recipient_count` корректен для repeat/JSON/CSV. * `TestUpdate::*` (PUT/PATCH) — больше не требуют `file`, возвращают `200`. * `TestDelete::test_delete_and_cascade_acknowledgements` — `delete_document` достаточно, `403` устранён. * `TestAcknowledge::test_ack_forbidden_if_not_recipient_and_not_sent_to_all` — теперь **403** для чужих документов с `sent_to_all=False`. * `TestSerialization::test_file_url_downloadable_in_dev` — `200` при скачивании `file_url` в dev. * `TestSecurityAndPolicy::test_policy_without_perms_list_is_200_detail_and_ack_require_access` — `list` даёт `200`, `detail/ack` чужого документа с `sent_to_all=False` дают `403`. * `calendar_app`: `TestAuthAndPermissions.test_company_get_ok_regular_user` — `GET` по компании даёт `200`. ### Затронутые файлы (основные) * `backend/api/v1/documents/permissions.py` (+ `DocumentReadOrModelPerms`) * `backend/api/v1/documents/serializers.py` (+ `RecipientIDsField`, правки `DocumentWriteSerializer`, `DocumentReadSerializer`) * `backend/api/v1/documents/views.py` (фильтрация `get_queryset()`, логика `create()`, `acknowledge`) * `backend/api/v1/employees/serializers.py` (+ `full_name`) * `eusrr_backend/urls.py` (проверка `static()` для MEDIA) * *(календарь)* `backend/api/v1/calendar/views.py` (`get_permissions()` для company list) --- **BREAKING**: ACK для документов с `sent_to_all=False` теперь доступен **только получателям** (или при наличии модельных прав/staff).
68 lines
2.9 KiB
Python
68 lines
2.9 KiB
Python
# backend/eusrr_backend/middleware.py
|
||
from django.conf import settings
|
||
from django.shortcuts import redirect
|
||
from django.urls import reverse, NoReverseMatch
|
||
|
||
|
||
class AuthRequiredMiddleware:
|
||
"""
|
||
Разрешает доступ НЕавторизованным только к страницам логина/регистрации/верификации
|
||
и к API (или его частям), чтобы DRF/JWT сами возвращали 200/401 JSON, а не 302 HTML.
|
||
"""
|
||
|
||
# Префиксы, которые всегда пропускаем (настройка через settings при желании)
|
||
|
||
EXEMPT_PREFIXES = (
|
||
"/api/",
|
||
"/auth/reset/",
|
||
"/static/", # статика
|
||
"/media/", # медиа
|
||
# "/__debug__/", # django-debug-toolbar, если используется
|
||
)
|
||
|
||
# Именованные маршруты, которые можно посещать анонимно (точные пути)
|
||
EXEMPT_NAMES = (
|
||
"auth_front:login",
|
||
"auth_front:password_reset",
|
||
"auth_front:register",
|
||
"auth_front:verify_email",
|
||
"auth_front:resend_email",
|
||
"auth_front:password_reset_done",
|
||
"auth_front",
|
||
)
|
||
|
||
def __init__(self, get_response):
|
||
self.get_response = get_response
|
||
# Разрешённые точные пути (резолвим имена; если имя отсутствует — просто пропускаем)
|
||
allowed_exact = set()
|
||
for name in self.EXEMPT_NAMES:
|
||
try:
|
||
allowed_exact.add(reverse(name))
|
||
except NoReverseMatch:
|
||
# ничего страшного, просто такого имени сейчас нет
|
||
pass
|
||
self.allowed_exact = tuple(allowed_exact)
|
||
|
||
# Префиксы можно расширять из settings, если нужно
|
||
self.allowed_prefixes = tuple(
|
||
getattr(settings, "AUTH_REQUIRED_EXEMPT_PREFIXES", self.EXEMPT_PREFIXES)
|
||
)
|
||
|
||
def __call__(self, request):
|
||
# уже залогинен — пропускаем
|
||
if request.user.is_authenticated:
|
||
return self.get_response(request)
|
||
|
||
path = request.path_info # нормализованный путь без домена/квери
|
||
|
||
# 1) Пропускаем всё, что под разрешёнными префиксами (включая /api/)
|
||
if any(path.startswith(p) for p in self.allowed_prefixes):
|
||
return self.get_response(request)
|
||
|
||
# 2) Пропускаем точные разрешённые пути (логин/регистрация и т.п.)
|
||
if path in self.allowed_exact:
|
||
return self.get_response(request)
|
||
|
||
# 3) Иначе — редирект на страницу логина
|
||
return redirect(settings.LOGIN_URL) # у тебя name="login" -> /auth/login/
|