Django模型权限为何难在模型层应用？有无更简便方案？

为什么模型类中定义can_view方法无法让ORM自动校验权限？ #

Django的ORM查询本身是无状态的，它仅负责生成SQL并与数据库交互，无法自动获取当前请求上下文里的用户信息——模型类是全局定义的，而每次ORM查询对应的用户可能完全不同，模型方法没有内置的入口来接收当前用户参数。

另外，Django默认的权限系统是基于用户/组与权限标识的关联关系，ORM查询的核心是数据过滤，无法自动触发模型中自定义的权限校验方法，除非你主动在查询时传入用户并调用该方法，但这本质上还是手动校验，无法实现"自动"触发。

更简便的权限校验实现方式 #

1. 自定义模型管理器/查询集 #

通过封装带权限校验的查询方法，让视图层直接调用即可完成权限过滤，避免重复代码：

# models.py
from django.db import models
from django.contrib.auth.models import User

class MyModelQuerySet(models.QuerySet):
    def accessible_by(self, user):
        # 校验全局查看权限
        if user.has_perm('myapp.can_view_mymodel'):
            return self
        # 无全局权限时，仅返回用户自己创建的对象（示例逻辑）
        return self.filter(owner=user)

class MyModelManager(models.Manager):
    def get_queryset(self):
        return MyModelQuerySet(self.model, using=self._db)
    
    def accessible_by(self, user):
        return self.get_queryset().accessible_by(user)

class MyModel(models.Model):
    name = models.CharField(max_length=100)
    owner = models.ForeignKey(User, on_delete=models.CASCADE)
    
    objects = MyModelManager()

视图中使用时只需：

# views.py
def my_view(request):
    # 自动返回当前用户有权查看的所有MyModel数据
    my_objects = MyModel.objects.accessible_by(request.user)
    # ...后续逻辑

2. 使用视图权限Mixin #

对于类视图，直接继承Django内置的PermissionRequiredMixin，可以统一处理权限校验，无需手动编写判断逻辑：

# views.py
from django.contrib.auth.mixins import PermissionRequiredMixin
from django.views.generic import ListView, DetailView
from .models import MyModel

class MyModelListView(PermissionRequiredMixin, ListView):
    model = MyModel
    # 指定需要的权限标识
    permission_required = 'myapp.can_view_mymodel'
    # 可选：无权限时跳转的页面，默认返回403
    login_url = '/login/'

class MyModelDetailView(PermissionRequiredMixin, DetailView):
    model = MyModel
    permission_required = 'myapp.can_view_mymodel'

3. 实例级权限校验方法（针对单个对象） #

如果需要校验用户是否能查看某个特定实例，可以在模型中定义方法，在获取实例后调用：

# models.py
class MyModel(models.Model):
    name = models.CharField(max_length=100)
    owner = models.ForeignKey(User, on_delete=models.CASCADE)
    
    def can_view_by(self, user):
        # 逻辑：要么是对象所有者，要么拥有全局查看权限
        return user == self.owner or user.has_perm('myapp.can_view_mymodel')

视图中使用：

# views.py
def my_detail_view(request, pk):
    obj = MyModel.objects.get(pk=pk)
    if not obj.can_view_by(request.user):
        return HttpResponseForbidden("无查看权限")
    # ...后续逻辑

内容的提问来源于stack exchange，提问作者AlxVallejo