我正在关注security guidelines found on Pyramid docs 以及维基教程Adding Authorization
现在我需要添加基于单个用户而不是组的限制。
例如，如果任何博客编辑都有权审查所有 cmets，只有帖子作者可以编辑帖子本身。
对于我的根 ACL 中的第一个任务，如下所示：
__acl__ = [ (Allow, Everyone, 'view'),
(Allow, Authenticated, 'view_profile'),
(Allow, 'groups:editor', 'edit_comment')
]
但是edit_post 呢？
我已阅读 this answer，但由于我不需要构建资源树，因此对于我的需求来说似乎有点过头了。
【问题讨论】：
标签： python authorization pyramid
你可能把它弄得太复杂了。首先，如果访问者是帖子的作者，则仅显示指向 edit_post 视图的链接。通过使该视图对不应该看到它的人不可见，这将解决 99% 的问题。对于另外 1% - 聪明的用户手动编辑 URL 以直接访问编辑视图 - 添加如下内容：
def edit_post(request):
...
if authenticated_userid(request) != author:
raise pyramid.httpexceptions.HTTPForbidden("You are not this post's author.")
【讨论】：
edit_comment）是我愿意让事情保持不变的观点大大地。至少在您凝视时这不会变得太复杂......现在+1。
通过在您的项目中创建 Root 资源，您已经拥有一个“资源树”。您只需在其上为 posts 添加一个节点，该节点将返回一个带有特定 __acl__ 的 Post 对象，该对象仅包含授权用户 ID。然后，您可以让您的 edit_posts 路由使用 traverse='/posts/{post_id}' 遍历您的资源树到带有 __acl__ 的 Post 对象。
这并不难，而且是让 Pyramid 为你做这些事情的方法。
如果您不想使用 permission 参数，您可以在视图本身内部进行授权，就像 Kirk 建议的那样。
另外，如果您不喜欢这种添加 __acl__ 属性和遍历授权的方法，您可以实现自己的 AuthorizationPolicy 来使用给定的委托人列表和权限。
Pyramid 身份验证系统的关键在于它就在那里，这很棒。 Pyramid 绝不要求您使用它，对于不使用它的视图，处理它不会影响性能。
【讨论】：