django-clearance 0.1.0__tar.gz

django_clearance-0.1.0/.gitignore

@@ -0,0 +1,28 @@
+# Python
+__pycache__/
+*.py[cod]
+
+# Packaging
+build/
+dist/
+*.egg-info/
+
+# Environments
+.venv/
+.nox/
+
+# Tool caches and reports
+.pytest_cache/
+.mypy_cache/
+.ruff_cache/
+.coverage
+.coverage.*
+coverage.xml
+htmlcov/
+
+# Editors
+.idea/
+.vscode/
+
+# The example project's database
+example/db.sqlite3

django_clearance-0.1.0/CHANGELOG.fa.md

@@ -0,0 +1,37 @@
+# تغییرات
+
+[English](CHANGELOG.md)
+
+## 0.1.0 - نخستین انتشار
+
+Alpha: همه‌ی بخش‌ها ساخته و تست شده‌اند، ولی هنوز در پروژه‌ای با مدل‌های واقعی به
+کار نرفته‌اند، پس API ممکن است پیش از 1.0 عوض شود.
+
+* **بسته‌ها** - همان گروه‌های Django، که هر مجوز در آن‌ها با یک **دامنه‌ی ردیف**
+  داده می‌شود؛ گرفتن یک مجوز از یک شخص، با دلیلش.
+* **دامنه‌های ردیف** - در کد روی یک `ScopedQuerySet`، یا ساخته‌شده از قانون‌ها در
+  پنل ادمین؛ `visible_to(user, action)` آن‌ها را با تعداد ثابتی کوئری می‌خواند.
+* **فیلدهای محافظت‌شده** - با یک مجوز خوانده و با مجوزی دیگر نوشته می‌شوند، در کد
+  یا در پنل ادمین، و از هر serializer، فرم، قالب، صفحه‌ی ادمین و قانونی کنار
+  گذاشته می‌شوند.
+* **اکشن‌ها** - اکشن‌های وضعیت که فقط خودشان مقدارهایشان را می‌نویسند؛ اکشن‌هایی که
+  در viewها، viewsetها و اکشن‌های ادمین پیدا می‌شوند، با مجوزهایی که `migrate`
+  می‌سازد.
+* **Policyها** - `BasePolicy` برای قانون‌هایی که هیچ مجوزی نمی‌تواند بگوید، و
+  `ModelPolicy` برای هر مدل دیگر.
+* **viewهای Django و DRF** - `PolicyRequiredMixin`، `ScopedQuerySetMixin`،
+  `ProtectedFieldsViewMixin`، `policy_required`؛ `ModelPolicyPermission`،
+  `PolicyPermission`، `ScopedModelViewSet`، و رد کردن نوشتن، فیلد به فیلد.
+* **پنل ادمین** - هر `ModelAdmin` از policyها می‌پرسد، و صفحه‌های دسترسی: نمای کلی،
+  بسته‌ها به شکل جدول، افراد، مجوزها، سازنده‌ی قانون، فیلدهای محافظت‌شده، اکشن‌ها؛ به
+  فارسی راست به چپ.
+* **قانون‌های ایمنی** - هیچ کس به خودش بیشتر نمی‌دهد، چیزی را که ندارد نمی‌دهد، و
+  کاری نمی‌کند که هیچ کس نتواند دسترسی را مدیریت کند.
+* **دسترسی به صورت کد** - فایل `ACCESS` و `clearance_sync`، با `--dry-run`،
+  `--check` و `SYNC_ON_MIGRATE`.
+* **`clearance.roles`** - نقش‌ها با بسته‌های آغازین و یک سقف.
+* **`clearance.translations`** - اسم مجوزها، بسته‌ها و نقش‌ها در همه‌ی زبان‌ها.
+* **بررسی** - system checkها موقع بالا آمدن پروژه، و `clearance_check` برای
+  چیزهایی که فقط پایگاه داده می‌تواند بگوید.
+* **انگلیسی و فارسی** در همه جا؛ Python 3.11 تا 3.14، Django 5.2، 6.0 و 6.1، DRF
+  3.16 و بالاتر.

django_clearance-0.1.0/CHANGELOG.md

@@ -0,0 +1,38 @@
+# Changelog
+
+[فارسی](CHANGELOG.fa.md)
+
+## 0.1.0 - the first release
+
+Alpha: every part is built and tested, but not yet used in a project with
+real models, so the API may still change before 1.0.
+
+* **Bundles** - Django's groups, each permission given with a **row scope**;
+  revocations, one permission taken from one person with the reason why.
+* **Row scopes** - declared in code on a `ScopedQuerySet`, or built from
+  rules in the admin site; `visible_to(user, action)` reads them in a fixed
+  number of queries.
+* **Protected fields** - read with one permission and written with another,
+  in code or in the admin site, left out of every serializer, form, template,
+  admin page and rule.
+* **Actions** - status actions that alone write their values; actions found
+  in views, viewsets and admin actions, their permissions made on `migrate`.
+* **Policies** - `BasePolicy` for the rules no permission can say, and
+  `ModelPolicy` for every other model.
+* **Django views and DRF** - `PolicyRequiredMixin`, `ScopedQuerySetMixin`,
+  `ProtectedFieldsViewMixin`, `policy_required`; `ModelPolicyPermission`,
+  `PolicyPermission`, `ScopedModelViewSet`, writes refused field by field.
+* **The admin site** - every `ModelAdmin` asking the policies, and the access
+  pages: overview, bundles as a grid, people, permissions, the rule builder,
+  protected fields, actions; right to left in Persian.
+* **The safety rules** - nobody gives themselves more, gives what they do not
+  hold, or leaves nobody able to manage access.
+* **Access as code** - the `ACCESS` file and `clearance_sync`, with
+  `--dry-run`, `--check` and `SYNC_ON_MIGRATE`.
+* **`clearance.roles`** - roles with starting bundles and a ceiling.
+* **`clearance.translations`** - names of permissions, bundles and roles in
+  every language.
+* **Checking** - system checks at start-up, and `clearance_check` for what
+  only the database can tell.
+* **English and Persian** throughout; Python 3.11 to 3.14, Django 5.2, 6.0
+  and 6.1, DRF 3.16 and later.

django_clearance-0.1.0/LICENSE

@@ -0,0 +1,28 @@
+BSD 3-Clause License
+
+Copyright (c) 2026, amir mohammad kashanchian
+
+Redistribution and use in source and binary forms, with or without
+modification, are permitted provided that the following conditions are met:
+
+1. Redistributions of source code must retain the above copyright notice, this
+   list of conditions and the following disclaimer.
+
+2. Redistributions in binary form must reproduce the above copyright notice,
+   this list of conditions and the following disclaimer in the documentation
+   and/or other materials provided with the distribution.
+
+3. Neither the name of the copyright holder nor the names of its
+   contributors may be used to endorse or promote products derived from
+   this software without specific prior written permission.
+
+THIS SOFTWARE IS PROVIDED BY THE COPYRIGHT HOLDERS AND CONTRIBUTORS "AS IS"
+AND ANY EXPRESS OR IMPLIED WARRANTIES, INCLUDING, BUT NOT LIMITED TO, THE
+IMPLIED WARRANTIES OF MERCHANTABILITY AND FITNESS FOR A PARTICULAR PURPOSE ARE
+DISCLAIMED. IN NO EVENT SHALL THE COPYRIGHT HOLDER OR CONTRIBUTORS BE LIABLE
+FOR ANY DIRECT, INDIRECT, INCIDENTAL, SPECIAL, EXEMPLARY, OR CONSEQUENTIAL
+DAMAGES (INCLUDING, BUT NOT LIMITED TO, PROCUREMENT OF SUBSTITUTE GOODS OR
+SERVICES; LOSS OF USE, DATA, OR PROFITS; OR BUSINESS INTERRUPTION) HOWEVER
+CAUSED AND ON ANY THEORY OF LIABILITY, WHETHER IN CONTRACT, STRICT LIABILITY,
+OR TORT (INCLUDING NEGLIGENCE OR OTHERWISE) ARISING IN ANY WAY OUT OF THE USE
+OF THIS SOFTWARE, EVEN IF ADVISED OF THE POSSIBILITY OF SUCH DAMAGE.

django_clearance-0.1.0/PKG-INFO

@@ -0,0 +1,139 @@
+Metadata-Version: 2.5
+Name: django-clearance
+Version: 0.1.0
+Summary: Role, policy and row-level access control for Django. Denied by default.
+Project-URL: Repository, https://github.com/amirAI-dot/django-clearance
+Project-URL: Changelog, https://github.com/amirAI-dot/django-clearance/blob/main/CHANGELOG.md
+Project-URL: Guide, https://github.com/amirAI-dot/django-clearance/blob/main/docs/guide.md
+Project-URL: Design, https://github.com/amirAI-dot/django-clearance/blob/main/docs/design.md
+Author: amir mohammad kashanchian
+License-Expression: BSD-3-Clause
+License-File: LICENSE
+Keywords: abac,authorization,django,permissions,rbac,row-level security
+Classifier: Development Status :: 3 - Alpha
+Classifier: Environment :: Web Environment
+Classifier: Framework :: Django
+Classifier: Framework :: Django :: 5.2
+Classifier: Framework :: Django :: 6.0
+Classifier: Framework :: Django :: 6.1
+Classifier: Intended Audience :: Developers
+Classifier: Operating System :: OS Independent
+Classifier: Programming Language :: Python
+Classifier: Programming Language :: Python :: 3
+Classifier: Programming Language :: Python :: 3 :: Only
+Classifier: Programming Language :: Python :: 3.11
+Classifier: Programming Language :: Python :: 3.12
+Classifier: Programming Language :: Python :: 3.13
+Classifier: Programming Language :: Python :: 3.14
+Classifier: Topic :: Security
+Classifier: Typing :: Typed
+Requires-Python: >=3.11
+Requires-Dist: django>=5.2
+Provides-Extra: drf
+Requires-Dist: djangorestframework>=3.16; extra == 'drf'
+Description-Content-Type: text/markdown
+
+# django-clearance
+
+Role, policy and row-level access control for Django. Denied by default.
+
+[فارسی](README.fa.md)
+
+An administrator decides, in Django's admin site and with no code, who may
+do what - and to which rows, and with which fields:
+
+* **bundles** of permissions, each given with a **scope** - "their branch's
+  orders", "their own", or a rule built in the admin site;
+* **protected fields**, read with one permission and written with another;
+* **status actions** - only whoever may approve sets an order to *approved*;
+* **roles**, optional, with a ceiling nobody with the role goes past.
+
+Every door asks the same rules: Django's views and templates, DRF, the admin
+site, and your own code. A change is refused when it would let somebody give
+themselves more. The pages, messages and permissions come in English and
+Persian, and read right to left in Persian.
+
+## In a project
+
+```bash
+pip install 'django-clearance[drf]'
+```
+
+```python
+INSTALLED_APPS = [
+    'clearance.admin.apps.ClearanceAdminConfig',   # instead of 'django.contrib.admin'
+    ...
+    'clearance',
+]
+
+AUTHENTICATION_BACKENDS = ['clearance.backends.ClearanceBackend']
+
+REST_FRAMEWORK = {
+    'DEFAULT_PERMISSION_CLASSES': ['clearance.drf.permissions.ModelPolicyPermission'],
+}
+```
+
+```python
+class OrderViewSet(ScopedModelViewSet):  # the rows, the policy, the fields - asked
+    queryset = Order.objects.all()
+    serializer_class = OrderSerializer
+
+
+Order.objects.visible_to(user, 'edit')  # the orders this person may edit
+```
+
+* [The guide](docs/guide.md) - every part, how to use it.
+* [The example shop](example/README.md) - a project using all of it, to run.
+* [The design](docs/design.md) - why it is built the way it is.
+
+Python 3.11 to 3.14; Django 5.2, 6.0 and 6.1; Django REST framework 3.16 and
+later, optional; any database Django supports.
+
+## Working on it
+
+Every check runs through [nox](https://nox.thea.codes), the same sessions
+locally and in CI. With [uv](https://docs.astral.sh/uv/) installed, a Python
+that is missing is fetched for you.
+
+```bash
+uv tool install nox
+```
+
+```bash
+nox -s lint
+```
+
+```bash
+nox -s types
+```
+
+```bash
+nox -s tests
+```
+
+`tests` runs every supported Python and Django; one combination is
+`nox -s "tests(3.13-django6.1)"`, and `nox -l` lists them all. `browser`
+runs the pages in a real browser, `messages` - with gettext installed -
+checks that the catalogues hold every string the library marks, and
+`package` builds the wheel and runs the example project on it.
+
+The suite uses SQLite unless told otherwise. To run it on PostgreSQL, as CI
+does, set `CLEARANCE_TEST_DATABASE=postgres`; the connection is read from the
+standard `PGHOST`, `PGPORT`, `PGUSER`, `PGPASSWORD` and `PGDATABASE`
+variables (defaults: `localhost`, `5432`, `postgres`, `postgres`,
+`clearance`).
+
+```bash
+CLEARANCE_TEST_DATABASE=postgres nox -s tests
+```
+
+After marking a string, extract it with `nox -s messages`, translate what it
+added in `locale/fa/LC_MESSAGES/django.po`, and compile:
+
+```bash
+cd src/clearance && django-admin compilemessages
+```
+
+## Licence
+
+BSD 3-Clause - see [`LICENSE`](LICENSE).

django_clearance-0.1.0/README.fa.md

@@ -0,0 +1,105 @@
+# django-clearance
+
+کنترل دسترسی مبتنی بر نقش، سیاست (policy) و سطح ردیف برای جنگو. پیش‌فرض: رد.
+
+[English](README.md)
+
+مدیر سایت، در پنل ادمین Django و بدون هیچ کدی، تصمیم می‌گیرد چه کسی چه کاری
+می‌تواند بکند - و روی کدام ردیف‌ها، و با کدام فیلدها:
+
+* **بسته‌های** مجوز، که هر مجوز با یک **دامنه** داده می‌شود - «سفارش‌های شعبه‌ی
+  خودشان»، «مال خودشان»، یا قانونی که در پنل ادمین ساخته شده؛
+* **فیلدهای محافظت‌شده**، که با یک مجوز خوانده و با مجوزی دیگر نوشته می‌شوند؛
+* **اکشن‌های وضعیت** - فقط کسی که اجازه‌ی تأیید دارد یک سفارش را *approved* می‌کند؛
+* **نقش‌ها**، به صورت اختیاری، با سقفی که هیچ کس با آن نقش از آن بالاتر نمی‌رود.
+
+همه‌ی درها همان قانون‌ها را می‌پرسند: viewها و قالب‌های Django، DRF، پنل ادمین، و
+کد خودتان. هر تغییری که بگذارد کسی به خودش بیشتر بدهد رد می‌شود. صفحه‌ها، پیام‌ها
+و مجوزها به انگلیسی و فارسی هستند، و به فارسی راست به چپ خوانده می‌شوند.
+
+## در یک پروژه
+
+```bash
+pip install 'django-clearance[drf]'
+```
+
+```python
+INSTALLED_APPS = [
+    'clearance.admin.apps.ClearanceAdminConfig',   # instead of 'django.contrib.admin'
+    ...
+    'clearance',
+]
+
+AUTHENTICATION_BACKENDS = ['clearance.backends.ClearanceBackend']
+
+REST_FRAMEWORK = {
+    'DEFAULT_PERMISSION_CLASSES': ['clearance.drf.permissions.ModelPolicyPermission'],
+}
+```
+
+```python
+class OrderViewSet(ScopedModelViewSet):  # the rows, the policy, the fields - asked
+    queryset = Order.objects.all()
+    serializer_class = OrderSerializer
+
+
+Order.objects.visible_to(user, 'edit')  # the orders this person may edit
+```
+
+* [راهنما](docs/guide.fa.md) - همه‌ی بخش‌ها، و اینکه چطور به کارشان ببرید.
+* [فروشگاه نمونه](example/README.fa.md) - پروژه‌ای که همه‌اش را به کار می‌برد، برای
+  اجرا کردن.
+* [سند طراحی](docs/design.fa.md) - اینکه چرا این‌طور ساخته شده.
+
+Python 3.11 تا 3.14؛ Django 5.2، 6.0 و 6.1؛ Django REST framework 3.16 و بالاتر،
+به صورت اختیاری؛ هر پایگاه داده‌ای که Django پشتیبانی می‌کند.
+
+## کار روی پروژه
+
+همه‌ی بررسی‌ها با [nox](https://nox.thea.codes) اجرا می‌شوند؛ همان sessionها
+هم روی سیستم خودتان و هم در CI. اگر [uv](https://docs.astral.sh/uv/) نصب
+باشد، هر نسخه‌ای از پایتون که نصب نیست خودکار دانلود می‌شود.
+
+```bash
+uv tool install nox
+```
+
+```bash
+nox -s lint
+```
+
+```bash
+nox -s types
+```
+
+```bash
+nox -s tests
+```
+
+`tests` همه‌ی نسخه‌های پشتیبانی‌شده‌ی پایتون و جنگو را اجرا می‌کند؛ برای
+اجرای یک ترکیب: `nox -s "tests(3.13-django6.1)"`، و `nox -l` همه را فهرست
+می‌کند. `browser` صفحه‌ها را در یک مرورگر واقعی اجرا می‌کند، `messages` - با
+gettext نصب‌شده - بررسی می‌کند که کاتالوگ‌ها همه‌ی رشته‌هایی را که کتابخانه علامت
+می‌زند داشته باشند، و `package` فایل wheel را می‌سازد و پروژه‌ی نمونه را روی آن
+اجرا می‌کند.
+
+تست‌ها به‌طور پیش‌فرض روی SQLite اجرا می‌شوند. برای اجرا روی PostgreSQL،
+مثل CI، متغیر `CLEARANCE_TEST_DATABASE=postgres` را تنظیم کنید؛ اطلاعات
+اتصال از متغیرهای استاندارد `PGHOST`، `PGPORT`، `PGUSER`، `PGPASSWORD` و
+`PGDATABASE` خوانده می‌شود (پیش‌فرض‌ها: `localhost`، `5432`، `postgres`،
+`postgres`، `clearance`).
+
+```bash
+CLEARANCE_TEST_DATABASE=postgres nox -s tests
+```
+
+بعد از علامت زدن یک رشته، با `nox -s messages` استخراجش کنید، آنچه اضافه شده را در
+`locale/fa/LC_MESSAGES/django.po` ترجمه کنید، و کامپایل کنید:
+
+```bash
+cd src/clearance && django-admin compilemessages
+```
+
+## لایسنس
+
+BSD 3-Clause - فایل [`LICENSE`](LICENSE) را ببینید.

django_clearance-0.1.0/README.md

@@ -0,0 +1,104 @@
+# django-clearance
+
+Role, policy and row-level access control for Django. Denied by default.
+
+[فارسی](README.fa.md)
+
+An administrator decides, in Django's admin site and with no code, who may
+do what - and to which rows, and with which fields:
+
+* **bundles** of permissions, each given with a **scope** - "their branch's
+  orders", "their own", or a rule built in the admin site;
+* **protected fields**, read with one permission and written with another;
+* **status actions** - only whoever may approve sets an order to *approved*;
+* **roles**, optional, with a ceiling nobody with the role goes past.
+
+Every door asks the same rules: Django's views and templates, DRF, the admin
+site, and your own code. A change is refused when it would let somebody give
+themselves more. The pages, messages and permissions come in English and
+Persian, and read right to left in Persian.
+
+## In a project
+
+```bash
+pip install 'django-clearance[drf]'
+```
+
+```python
+INSTALLED_APPS = [
+    'clearance.admin.apps.ClearanceAdminConfig',   # instead of 'django.contrib.admin'
+    ...
+    'clearance',
+]
+
+AUTHENTICATION_BACKENDS = ['clearance.backends.ClearanceBackend']
+
+REST_FRAMEWORK = {
+    'DEFAULT_PERMISSION_CLASSES': ['clearance.drf.permissions.ModelPolicyPermission'],
+}
+```
+
+```python
+class OrderViewSet(ScopedModelViewSet):  # the rows, the policy, the fields - asked
+    queryset = Order.objects.all()
+    serializer_class = OrderSerializer
+
+
+Order.objects.visible_to(user, 'edit')  # the orders this person may edit
+```
+
+* [The guide](docs/guide.md) - every part, how to use it.
+* [The example shop](example/README.md) - a project using all of it, to run.
+* [The design](docs/design.md) - why it is built the way it is.
+
+Python 3.11 to 3.14; Django 5.2, 6.0 and 6.1; Django REST framework 3.16 and
+later, optional; any database Django supports.
+
+## Working on it
+
+Every check runs through [nox](https://nox.thea.codes), the same sessions
+locally and in CI. With [uv](https://docs.astral.sh/uv/) installed, a Python
+that is missing is fetched for you.
+
+```bash
+uv tool install nox
+```
+
+```bash
+nox -s lint
+```
+
+```bash
+nox -s types
+```
+
+```bash
+nox -s tests
+```
+
+`tests` runs every supported Python and Django; one combination is
+`nox -s "tests(3.13-django6.1)"`, and `nox -l` lists them all. `browser`
+runs the pages in a real browser, `messages` - with gettext installed -
+checks that the catalogues hold every string the library marks, and
+`package` builds the wheel and runs the example project on it.
+
+The suite uses SQLite unless told otherwise. To run it on PostgreSQL, as CI
+does, set `CLEARANCE_TEST_DATABASE=postgres`; the connection is read from the
+standard `PGHOST`, `PGPORT`, `PGUSER`, `PGPASSWORD` and `PGDATABASE`
+variables (defaults: `localhost`, `5432`, `postgres`, `postgres`,
+`clearance`).
+
+```bash
+CLEARANCE_TEST_DATABASE=postgres nox -s tests
+```
+
+After marking a string, extract it with `nox -s messages`, translate what it
+added in `locale/fa/LC_MESSAGES/django.po`, and compile:
+
+```bash
+cd src/clearance && django-admin compilemessages
+```
+
+## Licence
+
+BSD 3-Clause - see [`LICENSE`](LICENSE).