0

Я создал сигналы для сохранения информации о пользователях при их удалении. Проверил через панель администратора, все работает как надо. Решил проверить удаления по api через postman. Получаю токен конкретного пользователя. Вставляю его в headers. Ввожу delete запрос на http://127.0.0.1:8000/api/users/16/ получаю ответ что нужно ввести текущий пароль. Ввожу и получаю это сообщение. Пароль 100% верный. Как выйти из ситуации? User может удалять собственную страницу. Задумка такая. Заранее спасибо за ответы.

Запрос в Postman

Привожу данные связанные с юзером.

class Readers(AbstractUser):
    """Модель Юзера/Читателя/Посетителя библиотеки.
    ||
    Library User/Reader/Visitor Model.
    """

    USER_ROLE = 'reader'
    MODERATOR_ROLE = 'moderator'
    ADMIN_ROLE = 'admin'
    ROLE_CHOICES = (
        (USER_ROLE, 'reader'),
        (MODERATOR_ROLE, 'moderator'),
        (ADMIN_ROLE, 'admin')
    )
    username = models.CharField(
        verbose_name='Username',
        max_length=100,
        unique=True,
        validators=(UnicodeUsernameValidator(), ),
        help_text='Введите username пользователя'
    )
    first_name = models.CharField(
        verbose_name='Имя читателя',
        max_length=50,
        help_text='Введите Имя'
    )
    last_name = models.CharField(
        verbose_name='Фамилия читателя',
        max_length=50,
        help_text='Введите Фамилию'
    )
    email = models.EmailField(
        unique=True,
        verbose_name='email читателя',
        help_text='Введите электронную почту'
    )
    phone_number = PhoneNumberField(
        unique=True,
        null=False,
        blank=False,
    )
    reputation = models.IntegerField(
        default=10,
        verbose_name='Рейтинг Читателя'
    )
    role = models.CharField(
        max_length=max((len(item) for _, item in ROLE_CHOICES)),
        choices=ROLE_CHOICES,
        default=USER_ROLE,
        verbose_name='Пользовательская роль',
        help_text='Выберите роль пользователя'
    )

    class Meta:
        ordering = ('username', )
        verbose_name = 'Читатель'
        verbose_name_plural = 'Читатели'

    def __str__(self):
        return self.username

    @property
    def is_moderator(self):
        """True для пользователей с правами модератора. """

        return self.role == Readers.MODERATOR_ROLE

    @property
    def is_admin(self):
        """True для пользователей с правами админа и суперпользователей. """

        return (
            self.role == Readers.ADMIN_ROLE
            or self.is_staff
            or self.is_superuser
        )

сериалайзер:

class UserCreateSerializer(UserCreateSerializer):
"""Сериализатор создания пользователя.
||
User creation serializer.
"""

class Meta:
    """Мета параметры модели.
    ||
    Model's meta parameters.
    """
    model = Readers
    fields = (
        'email', 'username', 'first_name',
        'last_name', 'password', 'phone_number', 'id'
    )

class UserSerializer(UserSerializer):
"""Сериализатор пользователя.
||
User serializer.
"""

class Meta:
    """Мета параметры модели.
    ||
    Model's meta parameters.
    """
    model = Readers
    fields = (
         'email', 'id', 'username', 'reputation',
         'first_name', 'last_name', 'phone_number'
    )

в instaled apps зарегистрированы 'rest_framework.authtoken', 'djoser'. так же вроде бы корректный код в настройках

AUTH_PASSWORD_VALIDATORS = [
    {
        'NAME': 'django.contrib.auth.password_validation.UserAttributeSimilarityValidator',
    },
    {
        'NAME': 'django.contrib.auth.password_validation.MinimumLengthValidator',
    },
    {
        'NAME': 'django.contrib.auth.password_validation.CommonPasswordValidator',
    },
    {
        'NAME': 'django.contrib.auth.password_validation.NumericPasswordValidator',
    },
]

DJOSER = {
    "SERIALIZERS": {
        "user_create": "api.serializers.UserCreateSerializer",
        "user": "api.serializers.UserSerializer",
        "current_user": "api.serializers.UserSerializer",
    },

    "PERMISSIONS": {
        "user": ["djoser.permissions.CurrentUserOrAdminOrReadOnly"],
        "user_list": ["rest_framework.permissions.IsAuthenticatedOrReadOnly"],
    },

    "HIDE_USERS": False,
}

REST_FRAMEWORK = {
'DEFAULT_PERMISSION_CLASSES': [
    'rest_framework.permissions.IsAuthenticated',
],
'DEFAULT_AUTHENTICATION_CLASSES': [
    'rest_framework.authentication.TokenAuthentication',
],

вьюсет пользователя

class UserViewSet(UserViewSet):
    """Представление Пользователя.
    ||
    User viewset.
    """

    queryset = Readers.objects.all()
    serializer_class = UserSerializer
    pagination_class = PageNumberPagination
    permission_classes = (IsAdminModeratorOrSuperUser, )

    def list(self, request):
        """Запрет доступа к списку пользователей для всех,
           кроме администраторов,
           модераторов и суперпользователей. """

        if not request.user.is_superuser and not request.user.is_staff:
            raise PermissionDenied
        return super().list(request)

U.P.D. Я загружал в БД тестовые данные юзеров но их пароли не хешировались.(Можно посмотреть в обсуждение вопроса). При хешировании все без проблем пропадает. Ответ в обсуждении.

2 ответа 2

0

Я кажется нашел ошибку. В моем пет проекте я создавал файл с данными тестовых юзеров. Их пароли почему-то не хешировались. Как только по api я создал пользователя, его пароль прохешировался. И я смог с помощью метода delete спокойно удалить как и задумывалось. Теперь надо понять как хешировать пароли тестовых юзеров... Пример как я создавал тестовых юзеров: введите сюда описание изображения

а загружал их в базу таким образом: введите сюда описание изображения

как я могу прохешировать пароли тестовых юзеров созданных таким образом?

U.P.D. В моем load_test_data. нужно изменить начиная с 23 строки на такой код:

            for readers in test_user_data:
            # хешируем пароль
            readers['password'] = make_password(readers['password'])
            Readers.objects.get_or_create(**readers)

    self.stdout.write(self.style.SUCCESS('Данные загружены'))
5
  • 1
    Пожалуйста, не приводите код картинкой.
    – wchistow
    22 апр 2023 в 9:29
  • Простите, больше не повторится.
    – PashkaVRN
    22 апр 2023 в 9:47
  • обновил свой ответ 22 апр 2023 в 9:48
  • А две картинки-то остались
    – wchistow
    24 апр 2023 в 7:54
  • Ответ на вопрос получен, я не думал что мне нужно сейчас удалить скриншоты , и вместо них переписать код, это же не актуальная уже информация. Но хорошо, сейчас редактирую.
    – PashkaVRN
    27 апр 2023 в 19:44
0

Возможно поможет, в django есть функция check_password проверки сырого пароля с хешированным в базе. Например в вашем serializer можно добавить метод validate и в нем осуществить проверку пароля.

exceptions.py

from rest_framework.exceptions import ValidationError


class WrongData(ValidationError):
    """400 ошибка при не корректных данных."""
    ...

serializers.py

from django.shortcuts import get_object_or_404
from django.contrib.auth.hashers import check_password
from rest_framework.serializers import Serializer


class YourSerializer(Serializer):
    email = EmailField(max_length=254)
    current_password = CharField(max_length=64)

    def validate(self, data):
        user = get_object_or_404(User, email=data.get('email'))
        if not check_password(data.get('current_password'), user.password):
            raise WrongData('Введен не правильный пароль')
        return data

Если в запросе не передается email, а только пароль, можно вытащить user-a из request, но для этого request нужно будет передать в serializer и тогда user будет:

user = get_object_or_404(User, user=self.context.get('request').user)

UPD Что бы хешировать пароль:

У user-instance можно воспользоваться методом set_password():

user = User.objects.create(**data)
user.set_password(user.password)
user.save()
5
  • а я могу же изменить свою команду для загрузки тестовых юзеров таким образом и они получается будут хешироваться. Верно?
    – PashkaVRN
    22 апр 2023 в 9:50
  • for user in test_user_data: user['password'] = make_password(user['password']) # хешируем пароль Readers.objects.get_or_create(**user) self.stdout.write(self.style.SUCCESS('Данные загружены'))
    – PashkaVRN
    22 апр 2023 в 9:50
  • Не использовал эту функцию, но вроде она должна хешировать пароль, протестируй и загляни в базу 22 апр 2023 в 9:52
  • Да. Теперь пароли тестовых юзеров хешируются. Спасибо за уделенное время и хорошего дня :)
    – PashkaVRN
    22 апр 2023 в 10:00
  • Не за что и тебе хорошего дня 22 апр 2023 в 10:27

Ваш ответ

By clicking “Отправить ответ”, you agree to our terms of service and acknowledge you have read our privacy policy.

Всё ещё ищете ответ? Посмотрите другие вопросы с метками или задайте свой вопрос.