Pyramids 身份验证系统有多灵活？

Question

我开始使用 Pyramid 框架（伟大的框架），我已经到了用户授权的地步。我想利用 ACL 来阻止已经登录的用户访问注册页面。显然，我可以通过其他方式做到这一点，但我想知道是否有任何方法可以使用金字塔中的工具来做到这一点。

我知道，通过向视图添加权限，不符合条件的用户将被显示为禁止视图。就我而言，我只是想重新路由已经是会员的用户远离不适用于他们的视图（注册、登录等）。

我尝试__acl__ = [(Deny, Authenticated, 'guest')] 无济于事，因为它阻止了所有用户的登录页面。

另外，在某种程度上，有没有办法动态地改变路线。我希望登录用户的主页与访客的主页不同。

Answer 1

您需要调查您的身份验证策略返回的主体，以了解发生了什么。很容易判断您是否在 INI 文件中打开了pyramid.debug_authorization。授权策略会将找到的 ACL 与通过 pyramid.security.effective_principals(request) 返回的主体进行比较。如果这些不匹配，应该清楚发生了什么。

实现基于表单的登录的方法是（假设 Pyramid 1.3a9+）：

from pyramid.httpexceptions import HTTPSeeOther
from pyramid.security import authenticated_userid
from pyramid.view import forbidden_view_config

@forbidden_view_config()
def forbidden_view(request):
    if authenticated_userid(request):
        # user is already logged in, they are really forbidden
        return request.context # the forbidden 403 response

    url = request.route_url('login', _query={'came_from': request.path})
    return HTTPSeeOther(url)

这会将came_from 参数作为request.GET['came_from'] 添加到您的登录视图中的URL。当然，如果不存在，您可以在登录后将它们重定向到主屏幕。