0

Я создал сигналы для сохранения информации о пользователях при их удалении. Проверил через панель администратора, все работает как надо. Решил проверить удаления по api через postman. Получаю токен конкретного пользователя. Вставляю его в headers. Ввожу delete запрос на http://127.0.0.1:8000/api/users/16/ получаю ответ что нужно ввести текущий пароль. Ввожу и получаю это сообщение. Пароль 100% верный. Как выйти из ситуации? User может удалять собственную страницу. Задумка такая. Заранее спасибо за ответы.

Запрос в Postman

Привожу данные связанные с юзером.

class Readers(AbstractUser):
    """Модель Юзера/Читателя/Посетителя библиотеки.
    ||
    Library User/Reader/Visitor Model.
    """

    USER_ROLE = 'reader'
    MODERATOR_ROLE = 'moderator'
    ADMIN_ROLE = 'admin'
    ROLE_CHOICES = (
        (USER_ROLE, 'reader'),
        (MODERATOR_ROLE, 'moderator'),
        (ADMIN_ROLE, 'admin')
    )
    username = models.CharField(
        verbose_name='Username',
        max_length=100,
        unique=True,
        validators=(UnicodeUsernameValidator(), ),
        help_text='Введите username пользователя'
    )
    first_name = models.CharField(
        verbose_name='Имя читателя',
        max_length=50,
        help_text='Введите Имя'
    )
    last_name = models.CharField(
        verbose_name='Фамилия читателя',
        max_length=50,
        help_text='Введите Фамилию'
    )
    email = models.EmailField(
        unique=True,
        verbose_name='email читателя',
        help_text='Введите электронную почту'
    )
    phone_number = PhoneNumberField(
        unique=True,
        null=False,
        blank=False,
    )
    reputation = models.IntegerField(
        default=10,
        verbose_name='Рейтинг Читателя'
    )
    role = models.CharField(
        max_length=max((len(item) for _, item in ROLE_CHOICES)),
        choices=ROLE_CHOICES,
        default=USER_ROLE,
        verbose_name='Пользовательская роль',
        help_text='Выберите роль пользователя'
    )

    class Meta:
        ordering = ('username', )
        verbose_name = 'Читатель'
        verbose_name_plural = 'Читатели'

    def __str__(self):
        return self.username

    @property
    def is_moderator(self):
        """True для пользователей с правами модератора. """

        return self.role == Readers.MODERATOR_ROLE

    @property
    def is_admin(self):
        """True для пользователей с правами админа и суперпользователей. """

        return (
            self.role == Readers.ADMIN_ROLE
            or self.is_staff
            or self.is_superuser
        )

сериалайзер:

class UserCreateSerializer(UserCreateSerializer):
"""Сериализатор создания пользователя.
||
User creation serializer.
"""

class Meta:
    """Мета параметры модели.
    ||
    Model's meta parameters.
    """
    model = Readers
    fields = (
        'email', 'username', 'first_name',
        'last_name', 'password', 'phone_number', 'id'
    )

class UserSerializer(UserSerializer):
"""Сериализатор пользователя.
||
User serializer.
"""

class Meta:
    """Мета параметры модели.
    ||
    Model's meta parameters.
    """
    model = Readers
    fields = (
         'email', 'id', 'username', 'reputation',
         'first_name', 'last_name', 'phone_number'
    )

в instaled apps зарегистрированы 'rest_framework.authtoken', 'djoser'. так же вроде бы корректный код в настройках

AUTH_PASSWORD_VALIDATORS = [
    {
        'NAME': 'django.contrib.auth.password_validation.UserAttributeSimilarityValidator',
    },
    {
        'NAME': 'django.contrib.auth.password_validation.MinimumLengthValidator',
    },
    {
        'NAME': 'django.contrib.auth.password_validation.CommonPasswordValidator',
    },
    {
        'NAME': 'django.contrib.auth.password_validation.NumericPasswordValidator',
    },
]

DJOSER = {
    "SERIALIZERS": {
        "user_create": "api.serializers.UserCreateSerializer",
        "user": "api.serializers.UserSerializer",
        "current_user": "api.serializers.UserSerializer",
    },

    "PERMISSIONS": {
        "user": ["djoser.permissions.CurrentUserOrAdminOrReadOnly"],
        "user_list": ["rest_framework.permissions.IsAuthenticatedOrReadOnly"],
    },

    "HIDE_USERS": False,
}

REST_FRAMEWORK = {
'DEFAULT_PERMISSION_CLASSES': [
    'rest_framework.permissions.IsAuthenticated',
],
'DEFAULT_AUTHENTICATION_CLASSES': [
    'rest_framework.authentication.TokenAuthentication',
],

вьюсет пользователя

class UserViewSet(UserViewSet):
    """Представление Пользователя.
    ||
    User viewset.
    """

    queryset = Readers.objects.all()
    serializer_class = UserSerializer
    pagination_class = PageNumberPagination
    permission_classes = (IsAdminModeratorOrSuperUser, )

    def list(self, request):
        """Запрет доступа к списку пользователей для всех,
           кроме администраторов,
           модераторов и суперпользователей. """

        if not request.user.is_superuser and not request.user.is_staff:
            raise PermissionDenied
        return super().list(request)

U.P.D. Я загружал в БД тестовые данные юзеров но их пароли не хешировались.(Можно посмотреть в обсуждение вопроса). При хешировании все без проблем пропадает. Ответ в обсуждении.

2 ответа 2

0

Я кажется нашел ошибку. В моем пет проекте я создавал файл с данными тестовых юзеров. Их пароли почему-то не хешировались. Как только по api я создал пользователя, его пароль прохешировался. И я смог с помощью метода delete спокойно удалить как и задумывалось. Теперь надо понять как хешировать пароли тестовых юзеров... Пример как я создавал тестовых юзеров: введите сюда описание изображения

а загружал их в базу таким образом: введите сюда описание изображения

как я могу прохешировать пароли тестовых юзеров созданных таким образом?

U.P.D. В моем load_test_data. нужно изменить начиная с 23 строки на такой код:

            for readers in test_user_data:
            # хешируем пароль
            readers['password'] = make_password(readers['password'])
            Readers.objects.get_or_create(**readers)

    self.stdout.write(self.style.SUCCESS('Данные загружены'))
5
  • 1
    Пожалуйста, не приводите код картинкой.
    – wchistow
    22 апр в 9:29
  • Простите, больше не повторится.
    – PashkaVRN
    22 апр в 9:47
  • обновил свой ответ 22 апр в 9:48
  • А две картинки-то остались
    – wchistow
    24 апр в 7:54
  • Ответ на вопрос получен, я не думал что мне нужно сейчас удалить скриншоты , и вместо них переписать код, это же не актуальная уже информация. Но хорошо, сейчас редактирую.
    – PashkaVRN
    27 апр в 19:44
0

Возможно поможет, в django есть функция check_password проверки сырого пароля с хешированным в базе. Например в вашем serializer можно добавить метод validate и в нем осуществить проверку пароля.

exceptions.py

from rest_framework.exceptions import ValidationError


class WrongData(ValidationError):
    """400 ошибка при не корректных данных."""
    ...

serializers.py

from django.shortcuts import get_object_or_404
from django.contrib.auth.hashers import check_password
from rest_framework.serializers import Serializer


class YourSerializer(Serializer):
    email = EmailField(max_length=254)
    current_password = CharField(max_length=64)

    def validate(self, data):
        user = get_object_or_404(User, email=data.get('email'))
        if not check_password(data.get('current_password'), user.password):
            raise WrongData('Введен не правильный пароль')
        return data

Если в запросе не передается email, а только пароль, можно вытащить user-a из request, но для этого request нужно будет передать в serializer и тогда user будет:

user = get_object_or_404(User, user=self.context.get('request').user)

UPD Что бы хешировать пароль:

У user-instance можно воспользоваться методом set_password():

user = User.objects.create(**data)
user.set_password(user.password)
user.save()
5
  • а я могу же изменить свою команду для загрузки тестовых юзеров таким образом и они получается будут хешироваться. Верно?
    – PashkaVRN
    22 апр в 9:50
  • for user in test_user_data: user['password'] = make_password(user['password']) # хешируем пароль Readers.objects.get_or_create(**user) self.stdout.write(self.style.SUCCESS('Данные загружены'))
    – PashkaVRN
    22 апр в 9:50
  • Не использовал эту функцию, но вроде она должна хешировать пароль, протестируй и загляни в базу 22 апр в 9:52
  • Да. Теперь пароли тестовых юзеров хешируются. Спасибо за уделенное время и хорошего дня :)
    – PashkaVRN
    22 апр в 10:00
  • Не за что и тебе хорошего дня 22 апр в 10:27

Ваш ответ

By clicking “Отправить ответ”, you agree to our terms of service and acknowledge that you have read and understand our privacy policy and code of conduct.

Всё ещё ищете ответ? Посмотрите другие вопросы с метками или задайте свой вопрос.