如何在Guardian直接外键模型的Django中迁移用户对象权限

问题背景 #

我们的Django系统基于Guardian的User Object Permissions实现访问控制，为了性能优化采用了直接外键权限模型（而非Guardian默认的通用UserObjectPermission模型），示例定义如下：

class MyModelUserObjectPermission(UserObjectPermissionBase):
    content_object = models.ForeignKey(MyModel, on_delete=models.CASCADE)

现在需要实现一个函数，将旧用户名下所有跨模型的对象权限批量迁移给新用户，但遇到了以下限制：

• get_objects_for_user必须指定perms参数，且多权限场景要求内容类型一致，无法处理跨模型迁移
• get_user_perms需要传入具体对象，不满足批量迁移需求
• 此前参考@willeM_ Van Onsem的方案在SQLite中可正常运行，但在MySQL中触发You can't specify target table 'tablename' for update in FROM clause错误，需做适配调整

解决方案 #

1. 自动收集所有权限模型 #

通过UserObjectPermissionBase的子类自动获取所有业务模型对应的权限表，无需手动逐个配置。

2. 批量迁移并适配MySQL限制 #

针对每个权限模型，批量复制旧用户的权限记录给新用户，通过exists()检查替代~Exists逻辑来规避MySQL的更新限制，同时避免创建重复权限：

from guardian.models import UserObjectPermissionBase

def migrate_user_object_permissions(old_user, new_user):
    # 获取所有继承自UserObjectPermissionBase的直接外键权限模型
    permission_models = [
        model for model in UserObjectPermissionBase.__subclasses__()
        if hasattr(model, 'content_object')
    ]

    for model in permission_models:
        # 拉取旧用户的全部权限记录
        old_permissions = model.objects.filter(user=old_user)
        
        # 准备需要创建的新权限记录（跳过已存在的）
        new_permissions = []
        for perm in old_permissions:
            # 检查新用户是否已拥有该对象的对应权限
            if not model.objects.filter(
                user=new_user,
                content_object=perm.content_object,
                permission=perm.permission
            ).exists():
                new_permissions.append(
                    model(
                        user=new_user,
                        content_object=perm.content_object,
                        permission=perm.permission
                    )
                )
        
        # 批量插入，减少数据库IO
        if new_permissions:
            model.objects.bulk_create(new_permissions)

3. 方案优势 #

• 自动适配所有业务模型的权限表，无需后续新增模型时修改迁移逻辑
• 批量操作提升性能，减少数据库交互次数
• 适配MySQL的语法限制，同时兼容SQLite等其他数据库

内容的提问来源于stack exchange，提问作者Chris Maggiulli