Odoo 10 Learnodoo 10 中文文档odoo

odoo V10中文参考手册（六：安全、测试用例、web控制器）

2017-04-11  本文已影响564人  XiaoHaiYang

安全

odoo提供了两种方式来管理数据权限而不需要通过手写权限管理相关代码，每种方式都通过用户组来指定用户：一个用户属于多个用户组，安全机制通过用户组关联作用到用户

访问控制

1.通过ir.model.access记录来管理，定义对整个模型的访问权限
2.每一条记录包含有 (1)对应的授权模型 (2)授予的权限 (3) 可选的用户组
3.访问权限控制是附加的，对于一个模型用户拥有赋予它所在组的权限：如果用户所在用户组1拥有写权限，用户组2有删除权限，那么该用户拥有写和删除权限）
4.如果没有指定用户组，这条权限控制就会作用在所有用户上，否则只会作用在指定组的用户上
5.可用的权限是：写(perm_create),搜索和读取(perm_read),更新现有记录(perm_write),删除记录(perm_unlink)

记录行规则

记录行规则规定进行(create, read, update or delete)操作时数据需要满足的条件，它会在应用了访问控制权限之后逐条记录进行应用

记录行规则的要素：
1.需要被应用规则的model
2.需要应用的规则（如果设置了perm_read ，那么只在读取记录时检查）
3.需要应用规则的用户组，如果没指定用户组，那么该规则就是全局的
4.用来检查记录是否满足条件的domain表达式，如果true表示可访问，false表示不可访问，domain表达式使用两个上下文变量：user - 当前用户记录，time - python time

全局规则和基于用户组的规则使用方式不同：

记录行规则对于管理员用户是没有作用的

字段权限

一个ORM字段可以通过groups属性来指定一个可访问的组列表（以逗号分隔）

如果当前用户不在指定的任何一个用户组中，那么不能访问该字段

工作流转换规则

工作流也可以通过指定用户组来控制权限，用户不在指定组内的将不会触发相应动作

模块测试

odoo支持通过单元测试来测试模块，写测试用例只需要在模块文件夹建立一个test文件夹，测试模块文件名须以test_开头，并且在__ init __.py里导入

your_module
|-- ...
`-- tests
    |-- __init__.py
    |-- test_bar.py
    `-- test_foo.py

#__init__.py
from . import test_foo, test_bar

默认只能运行python官方提供的部分测试，odoo提供了一些用来测试odoo内容的工具

默认情况下，在安装好对应模块后会自动执行对应的测试用例，也可配置为在所有模块安装完成后再运行

class TestModelA(common.TransactionCase):
    def test_some_action(self):
        record = self.env['model.a'].create({'field': 'value'})
        record.some_action()
        self.assertEqual(
            record.field,
            expected_field_value)

    # other tests...

当启动odoo时如果指定--test-enable ，测试用例会在安装或更新模块时运行

web控制器

路由

odoo.http.route(route=None, **kw) 装饰器可以装对应方法装饰为处理对应的http请求，该方法须是Controller的子类

参数列表：

1.如果表单是用python代码生成的，可通过request.csrf_token() 获取csrf
2.如果表单是用javascript生成的，CSRF token会自动被添加到QWEB环境变量中，通过require('web.core').csrf_token使用
3.如果终端可从其他地方以api或webhook形式调用，需要将对应的csrf禁用，此时最好用其他方式进行验证

请求

请求对象在收到请求时自动设置到odoo.http.request

class odoo.http.WebRequest(httprequest)

所有odoo WEB请求的父类，一般用于进行请求对象的初始化

class odoo.http.HttpRequest(*args)

用于处理http类型请求的函数，匹配路由参数、查询参数、表格参数，如果有指定文件也会传给该方法。为防止重名，路由参数优先级最高。
该函数的返回有三种：

make_response(data, headers=None, cookies=None)

用于生成没有HTML的响应 或 自定义响应头、cookie的html响应
由于处理函数只以字符串形式返回html标记内容，需要组成一个完整的响应对象，这样客户端才能解析

参数：

  1. data (basestring) -- 响应主体
  2. headers ([(name, value)]) -- http响应头
  3. cookies (collections.Mapping) -- 发送给客户端的cookie

not_found(description=None)

给出404 NOT FOUND响应

render(template, qcontext=None, lazy=True, **kw)

渲染qweb模板，在调度完成后会对给定的模板进行渲染，同时模板和qcontext可以被静态响应修改或替换

参数：

  1. template (basestring) -- 用于渲染的模板
  2. qcontext (dict) -- 用于渲染的上下文环境
  3. lazy (bool) -- 渲染动作是否应该拖延到最后执行
  4. kw -- 转发到werkzeug响应对象

class odoo.http.JsonRequest(*args)

处理通过http发来的json rpc格式请求

说明：
1.method -- 忽略
2.params -- 须是一个json格式对象
3.处理方法返回的结果是一个json-rpc格式的，以JSON-RPC Response对象的形式组装

正确的请求：

--> {"jsonrpc": "2.0",
     "method": "call",
     "params": {"context": {},
                "arg1": "val1" },
     "id": null}

<-- {"jsonrpc": "2.0",
     "result": { "res1": "val1" },
     "id": null}

出错的请求:

--> {"jsonrpc": "2.0",
     "method": "call",
     "params": {"context": {},
                "arg1": "val1" },
     "id": null}

<-- {"jsonrpc": "2.0",
     "error": {"code": 1,
               "message": "End user error message.",
               "data": {"code": "codestring",
                        "debug": "traceback" } },
     "id": null}

响应

class odoo.http.Response(*args, **kw)

响应对象通过控制器的路由传递，在werkzeug.wrappers.Response之外，该类的构造方法会添加以下参数到qweb的渲染中

  1. template (basestring) -- 用于渲染的模板
  1. qcontext (dict) -- 用在渲染中的上下文环境
  2. uid (int) -- 用于调用ir.ui.view渲染的用户id，None时使用当前请求的id

上面的参数在实际渲染之前可以随时作为Response对象的属性修改

控制器

控制器像Model一样需要定义成可扩展的，但不能用同样的机制，所以采用了另外一套机制
一般通过继承的形式创建：class odoo.http.Controller
以route装饰器来装饰定义的方法：

class MyController(odoo.http.Controller):
    @route('/some_url', auth='public')
    def handler(self):
        return stuff()

为了覆盖一个controller，可以继承它并将相关方法都覆盖：

class Extension(MyController):
    @route()
    def handler(self):
        do_before()
        return super(Extension, self).handler()

#下例会将handler方法由public变为user认证模式，需要登录
class Restrict(MyController):
    @route(auth='user')
    def handler(self):
        return super(Restrict, self).handler()

译自odoo官方文档：http://www.odoo.com/documentation/10.0/reference/security.html，http://www.odoo.com/documentation/10.0/reference/testing.html ,http://www.odoo.com/documentation/10.0/reference/http.html,不当之处欢迎批评指正。

内容发布自http://www.jianshu.com/u/6fdae8ec06bc，转载请注明出处

上一篇下一篇

猜你喜欢

热点阅读