在开发中，难免会有角色和权限定义，指定用户套用角色后只能访问角色配置的页面，前端只用渲染这些页面就可以，这样可以提升一些用户体验，不用等到用户去点击时才返回禁止使用，体验暴差。
- 这个问题的解决方案通常被称为”基于角色的访问控制”(RBAC)。在Python中，有多种方式可以实现这个功能。在FastAPI和Django中，都有相应的库可以实现。
- FastAPI: 可以使用的库有FastAPI-permissions。它是一个简单的，基于角色的权限系统，可以用于FastAPI。你可以创建不同的角色，并为每个角色分配不同的权限。然后，你可以检查用户是否有访问特定资源的权限.
- Django: Django有一个内置的认证系统，其中包括一个基于角色的访问控制系统。你可以创建不同的用户组（角色），并为每个组分配不同的权限。然后，你可以检查用户是否有访问特定资源的权限。
Fastapi的代码示例：
from fastapi import Depends, FastAPI
from fastapi.security import OAuth2PasswordBearer
from fastapi_permissions import Permissions, configure_permissions
# 设置OAuth2的token获取路径
oauth_scheme = OAuth2PasswordBearer(tokenUrl="/token")
# 获取当前用户的信息，这个函数应该链接到你的用户数据库或者用户认证系统
def get_current_user(token: str = Depends(oauth_scheme)):
return {"sub": "user", "roles": ["sales"]} # 这里只是一个示例，实际使用时应从数据库或认证系统中获取用户信息
app = FastAPI()
# 配置权限系统，连接到获取用户信息的函数和获取用户角色的函数
permissions = configure_permissions(get_current_user, get_user_roles)
@app.get("/sales")
# 使用权限装饰器，只有拥有"sales"角色的用户才能访问此路由
def read_sales(user=Depends(permissions["sales"])):
return {"sales": "data"}
Django的代码示例
from django.contrib.auth.decorators import permission_required
@permission_required('app.view_sales', login_url='/login/')
# 使用权限装饰器，只有拥有"app.view_sales"权限的用户才能访问此视图
def sales_view(request):
return render(request, 'sales.html')
下面是代码示例：
@app.get("/user/permissions")
def read_user_permissions(user=Depends(get_current_user)):
# 获取当前用户的角色
roles = user["roles"]
# 定义每个角色能访问的页面
role_permissions = {
"sales": ["sales_page", "product_page"],
"manager": ["sales_page", "product_page", "management_page"],
"admin": ["sales_page", "product_page", "management_page", "admin_page"]
}
# 获取用户能访问的页面
user_permissions = []
for role in roles:
user_permissions.extend(role_permissions.get(role, []))
return {"permissions": list(set(user_permissions))}
前端可以调用这个API获取用户的权限，然后根据返回的权限决定显示哪些页面。这样就可以在前端实现基于角色的访问控制，提升用户体验。
这只是一个简单的示例，我们可能需要根据具体需求进行修改。顺便说一句，这代码只是为了简化，实际开发中要在数据库中存储每个角色的权限，而不是在代码里写死。