Python 3.5.1和Django 1.9
我在我的项目中创建了一个自定义用户模型:
from django.db import models
from django.contrib.auth.models import (
BaseUserManager, AbstractBaseUser
)
class UserManager(BaseUserManager):
def create_user(self, username, password=None):
user = self.model(
username=username,
)
user.set_password(password)
user.save(using=self._db)
return user
def create_superuser(self, username, password):
user = self.create_user(
username,
password=password,
)
user.is_admin = True
user.is_superuser = True
user.save(using=self._db)
return user
# Users
class User(AbstractBaseUser):
username = models.CharField(
unique=True,
max_length=50,
)
bio = models.TextField()
is_active = models.BooleanField(default=True,
verbose_name="Active",
help_text="lorem")
is_admin = models.BooleanField(default=False,
verbose_name="Staff status",
help_text="lorem")
is_superuser = models.BooleanField(default=False,
verbose_name="Superuser status",
help_text="lorem")
objects = UserManager()
USERNAME_FIELD = 'username'
def get_full_name(self):
return self.username
def get_short_name(self):
return self.username
def is_staff(self):
return self.is_admin
def __str__(self):
return self.username
def has_perm(self, perm, obj=None):
return True
def has_module_perms(self, db):
return True
我按照官方文档这里的指导进行了操作。
我已经在settings.py中定义了AUTH_USER_MODEL。
自定义用户模型似乎一切正常,除了...
任何用户都可以登录到管理界面。当然,这并不是一个好事情。
以下是非管理员用户登录时管理界面的截图:
![non-admin login](https://istack.dev59.com/17AnX.webp)
![admin login](https://istack.dev59.com/cNVS3.webp)
管理员和非管理员用户都可以完全访问管理界面,他们都可以添加、修改和删除条目。
显然,这是一个可怕的安全问题,我甚至不知道从哪里开始调试。