在Django框架中，权限控制是确保用户只能访问其被授权的功能或页面的关键部分。本文将探讨如何通过URL实现简单的权限控制，以限制不同级别的用户访问特定的视图。我们将基于给定的代码示例来解析这个过程。
我们需要创建模型来存储权限和用户级别的信息。在`models.py`文件中，我们有以下四个类：
1. `level`：表示不同的用户级别，每个级别关联一个`permission`对象。
2. `userinfo`：代表用户信息，与Django内置的`User`模型进行一对一关联，并且关联一个`level`对象。
3. `permission`：表示各种权限，包含多个`menu`对象，表示用户可以访问的菜单。
4. `menu`：表示应用中的菜单项，包括名称和URL。
5. `nickname`：可选的昵称模型，与`userinfo`关联，但在这个权限控制的例子中不是必需的。
在`settings.py`文件中，定义了一个名为`URL_WHITE_LIST`的变量，这是一个字符串列表，包含了所有无需权限验证即可访问的URL。例如，登录和注销页面通常应该对所有用户开放。
接下来，我们创建一个装饰器`url_check`在`views.py`中，用于检查用户是否有权限访问特定的URL。这个装饰器首先检查用户会话（session）中是否存在权限列表（`p_l`）。如果存在，它将加载该列表并获取用户当前请求的URL。如果请求的URL在白名单中或者在用户的权限列表中，允许用户访问。否则，返回一个错误消息，告知用户没有访问权限。
装饰器的工作原理是，它包裹了实际的视图函数（如`menu`），并在用户尝试访问时先运行装饰器内的逻辑。这样，每个需要权限控制的视图都可以通过添加`@url_check`来实现。
在实际应用中，我们还需要处理用户登录和权限分配。当用户成功登录后，需要在会话中存储该用户对应的权限列表，以便在后续请求中进行权限检查。这可以通过在登录视图中执行相应的逻辑来完成，例如：
```python
def login(request):
# ...
user = authenticate(request, username=username, password=password)
if user is not None and user.is_active:
login(request, user)
# 获取用户权限并存入session
user_level = userinfo.objects.get(u_user=user).u_level
require_list = [menu.m_url for menu in permission.objects.filter(p_name=user_level.l_permission.p_name).values_list('p_menu__m_url', flat=True)]
request.session['p_l'] = pickle.dumps(require_list)
# ...
```
这样，当用户登录后，他们的权限列表会被序列化并存入session。每次用户请求一个新的URL，`url_check`装饰器就会检查这个列表，确保他们只能访问被授权的页面。
总结起来，通过Django实现简单的URL权限控制主要涉及以下步骤：
1. 定义模型来存储用户、权限和菜单信息。
2. 设置不受权限控制的URL白名单。
3. 创建一个装饰器来检查用户是否有权限访问请求的URL。
4. 在用户登录时，将用户权限信息存入session。
5. 使用装饰器来保护需要权限控制的视图。
这种方法虽然简单，但在小型项目中已经足够实用。对于更复杂的权限系统，可以考虑使用Django的内置权限系统、中间件或第三方库如`django-guardian`或`django-permissions`。
