api权限问题

[lihuibo128]

前端权限只是设置用户页面显示的，但实际上api的权限如果有照样是可以调用的

另外，我现在不想让用户具有查看的权限（默认现在登入后所有的都可以查看），想把查看权限收回，
只有我指定该用户具有查看权限才可以查看，这里需要怎么做

我开始以为每个model中设置：
permissions = (
("view_idc", "cat view idc"),
)
这个view_idc 是给用户设置查看权限的，但现在显示默认用户登陆之后是可以查看的，
那这个view_idc 又是干嘛的呢？ 请大神求解一下，谢谢

[rfjer]

前端只是展示数据，权限验证是接口层面做的。
view_idc， 这个是查看权限，这个版本是开发版，暂时没有用上