django越权控制

# 越权控制
class CustomPermission(permissions.BasePermission):
    def has_permission(self, request, view):  # 每次请求的时候都会走一下这里
        return bool(request.user and request.user.is_authenticated)

    def has_object_permission(self, request, view, obj):  # 在调用self.getObjecth会走一次这里
        # obj: 需要查询的用户id
        # request: 登录认证后的用户（token里面的用户）
        if request.user.is_superuser:  # 超管可以随便查
            return True
        else:
            return request.user.id == obj.id