如何通过程序化方式分析Django代码库中视图的权限保护情况？

嘿，这个需求真的很实用——自动追踪视图权限、生成定期报告，再也不用手动维护枯燥的权限列表了！针对你的问题，我有几个靠谱的方案，刚好能解决django-extensions的show_urls命令不足的问题：

方案一：自定义脚本解析URLconf与视图权限 #

你可以写一个简单的Python脚本，利用Django的自省机制遍历整个URL配置，逐个解析视图的权限控制逻辑。这个方法灵活度最高，完全适配你自己的项目结构。

核心思路： #

• 递归遍历项目的urlpatterns，包括通过include引入的子URL配置
• 区分函数视图和类视图，分别解析权限：
  • 函数视图：检查是否使用了@permission_required这类权限装饰器（注意处理装饰器的嵌套，通过__wrapped__属性获取原函数）
  • 类视图：直接读取permission_classes属性，或者动态获取get_permission_classes()方法的返回值
• 收集所有URL、视图名称、对应权限，生成结构化报告（比如Markdown、JSON或HTML）

示例脚本： #

from django.conf import settings
from django.urls import get_resolver
from django.contrib.auth.decorators import permission_required
from django.views.generic import View

def extract_view_permissions():
    resolver = get_resolver(settings.ROOT_URLCONF)
    permissions_report = []

    def traverse_url_patterns(patterns, url_prefix=''):
        for pattern in patterns:
            # 处理嵌套的URL配置（include进来的）
            if hasattr(pattern, 'url_patterns'):
                sub_prefix = url_prefix + pattern.pattern.regex.pattern
                traverse_url_patterns(pattern.url_patterns, sub_prefix)
            else:
                url_path = url_prefix + pattern.pattern.regex.pattern
                view_callback = pattern.callback
                view_name = pattern.name or f"{view_callback.__module__}.{view_callback.__name__}"
                required_permissions = []

                # 解析函数视图的装饰器权限
                current_view = view_callback
                while hasattr(current_view, '__wrapped__'):
                    if isinstance(current_view, permission_required):
                        required_permissions.append(current_view.permission_required)
                    current_view = current_view.__wrapped__

                # 解析类视图的权限类
                if hasattr(view_callback, 'view_class'):
                    view_class = view_callback.view_class
                    if issubclass(view_class, View):
                        # 处理静态permission_classes
                        if hasattr(view_class, 'permission_classes'):
                            required_permissions.extend(
                                [perm.__name__ if isinstance(perm, type) else str(perm) 
                                 for perm in view_class.permission_classes]
                            )
                        # 处理动态权限（如果有get_permission_classes方法）
                        if hasattr(view_class, 'get_permission_classes'):
                            try:
                                dynamic_perms = view_class().get_permission_classes()
                                required_permissions.extend(
                                    [perm.__name__ for perm in dynamic_perms]
                                )
                            except Exception:
                                # 避免实例化视图出错，可根据项目调整
                                pass

                permissions_report.append({
                    'url': url_path,
                    'view_name': view_name,
                    'permissions': required_permissions or ['无权限限制']
                })

    traverse_url_patterns(resolver.url_patterns)
    return permissions_report

# 生成Markdown格式的报告
def generate_markdown_report():
    report_data = extract_view_permissions()
    md_content = "# Django站点视图权限报告\n\n"
    md_content += "| URL路径 | 视图名称 | 所需权限 |\n"
    md_content += "|---------|----------|----------|\n"
    for entry in report_data:
        md_content += f"| {entry['url']} | {entry['view_name']} | {', '.join(entry['permissions'])} |\n"
    return md_content

# 运行脚本生成报告文件
if __name__ == '__main__':
    # 需要先设置Django环境（如果脚本不在项目根目录，要先配置）
    import os
    import sys
    os.environ.setdefault('DJANGO_SETTINGS_MODULE', 'your_project.settings')
    import django
    django.setup()

    report = generate_markdown_report()
    with open('view_permissions_report.md', 'w', encoding='utf-8') as f:
        f.write(report)
    print("报告已生成：view_permissions_report.md")

注意事项： #

• 如果你的项目用了自定义权限装饰器，需要在脚本里添加对应的判断逻辑
• 类视图的动态权限（比如根据请求返回不同权限）可能需要特殊处理，示例里做了基础的容错，你可以根据项目需求调整

方案二：扩展django-extensions的show_urls命令 #

既然你已经熟悉django-extensions的show_urls，那可以直接扩展它的功能，添加权限显示列，这样不用从零开始写遍历逻辑。

步骤： #

1. 在你的Django项目下创建management/commands目录（如果没有的话）
2. 新建一个show_urls_with_perms.py文件，内容如下：

from django_extensions.management.commands.show_urls import Command as ShowUrlsCommand
from django.contrib.auth.decorators import permission_required
from django.views.generic import View

class Command(ShowUrlsCommand):
    help = "显示所有URL及其对应的视图权限"

    def add_arguments(self, parser):
        super().add_arguments(parser)
        # 添加一个参数控制是否显示权限
        parser.add_argument('--show-perms', action='store_true', default=False,
                            help='显示每个视图所需的权限')

    def handle(self, *args, **options):
        self.show_perms = options.get('show_perms')
        super().handle(*args, **options)

    def format_output(self, url_pattern, url, view, namespace, name):
        # 先调用父类方法获取原输出
        base_output = super().format_output(url_pattern, url, view, namespace, name)
        if not self.show_perms:
            return base_output

        # 解析视图权限
        permissions = []
        current_view = view
        # 处理函数视图的装饰器
        while hasattr(current_view, '__wrapped__'):
            if isinstance(current_view, permission_required):
                permissions.append(current_view.permission_required)
            current_view = current_view.__wrapped__

        # 处理类视图的权限类
        if hasattr(view, 'view_class'):
            view_class = view.view_class
            if issubclass(view_class, View):
                if hasattr(view_class, 'permission_classes'):
                    permissions.extend([p.__name__ for p in view_class.permission_classes])

        perm_str = ', '.join(permissions) if permissions else '无权限限制'
        # 把权限追加到原输出后面
        return f"{base_output} | 权限: {perm_str}"

3. 运行命令：

python manage.py show_urls_with_perms --show-perms

这样就能在原show_urls的输出基础上，看到每个视图对应的权限了，你也可以把输出重定向到文件保存为报告：

python manage.py show_urls_with_perms --show-perms > view_permissions.txt

方案三：定期自动生成报告 #

不管用哪种方案，你都可以通过定时任务（比如Linux的crontab、Windows的任务计划）定期运行脚本/命令，自动生成最新的权限报告。比如在crontab里添加：

0 0 * * 0 cd /path/to/your/project && python manage.py generate_perm_report > /var/reports/django_perms_$(date +%Y%m%d).md

这样每周日凌晨都会生成一份新的权限报告，完全自动化，不用手动操作。

内容的提问来源于stack exchange，提问作者bodger