javascript - 如何让匿名用户访问 rpc api

Question

我需要在我的 JS 中通过 RPC 加载模型数据。

如果你这样做

ajax.jsonRpc("/web/dataset/call_kw", 'call', {
            model: 'res.partner.category',
            method: 'search_read',
[...]

你得到一个 SessionExpiredError 因为这个 Controller 只允许经过身份验证的用户使用。要解决这个问题，您应该在每次需要这样的东西时定义您的自定义 Controller ，这很遗憾，因为 api 已经存在。

目前我有以下解决方法:

JS:

ajax.jsonRpc("/web/dataset/call_kw_pub", 'call', {
            model: 'res.partner.category',
            method: 'search_read',
[...]

PY:

from openerp.addons.web.controllers.main import DataSet as DataSetBase

class DataSet(DataSetBase):
    @http.route([
        '/web/dataset/call_kw_pub',
        '/web/dataset/call_kw_pub/<path:path>'
    ], type='json', auth="public")
    def call_kw_pub(self, model, method, args, kwargs, path=None):
        if model not in ('partner.project.expertise', 'res.partner.category'):
            return http.request.not_found()
        return self._call_kw(model, method, args, kwargs)

ACL 似乎很好地处理了模型的访问权限，但为了确保安全，我只为某些模型启用了它。

如果这不是安全级别的问题，那么我们可以考虑允许公众访问标准 Controller 。有什么指点吗？

这可能与 https://github.com/OCA/web/pull/402 有关也是

Answer 1

我正在开发一个模块来提供此功能，但任何想要快速完成此操作的人都可以使用以下代码来实现:

from openerp import models
from openerp.http import SessionExpiredException


class IrHttp(models.Model):

    _inherit = 'ir.http'

    def _auth_method_user(self):
        try:
            return super(IrHttp, self)._auth_method_user()
        except SessionExpiredException:
            return self._auth_method_public()

以上尝试用户身份验证，然后在 SessionExpiredError 上明确重新验证为公共(public)用户。这是用于 RPC session 身份验证的方法，这是它失败时抛出的错误。似乎只有当公共(public)用户的身份验证失败时才会抛出此错误。

但是，错误的命名让我认为使用此 hack 可能涉及一些尚未完全确定的含义。

我能说的是，由于 Odoo 的默认安全权限，您的数据至少会是安全的。我还可以说，基本 session 功能和测试似乎都正常工作，除了在一个选项卡中注销然后在另一个选项卡中浏览的情况下与正常情况略有不同的错误之外。

我不能说的是这对 session 的边缘情况有什么意想不到的副作用。初步测试似乎不错，但肯定会产生深远的影响。

模块正在开发中 this pull request , 初始名称为 web_session_allow_public