Django数据库对象级权限实现方案选型咨询

先拆解你提到的两个方案的问题 #

• 方案1（多对多关联授权用户）：所谓的长期查询问题其实可以通过索引优化解决，但这种方式和Django自带权限体系脱节，得自己写大量视图校验逻辑，重复造轮子的成本高。
• 方案2（为每个公司创建独立权限）：会生成海量权限条目导致数据库膨胀，权限字符串转换容易出bug，后续公司改名、删除时还要同步清理权限，维护成本爆炸，完全不推荐。

推荐的最优实现思路 #

1. 用django-guardian做对象级权限 #

这是Django生态里专门解决条目级权限的成熟工具，完美适配你的场景：

• 不用改现有模型结构，直接通过API给用户分配某个公司/项目对象的查看权限
• 查询时用内置过滤器，比如get_objects_for_user(request.user, 'view_company')就能快速拿到用户有权限的公司，底层靠数据库索引优化，不存在长期查询性能问题
• 和Django自带权限系统兼容，支持给组分配权限，组内用户自动继承，减少重复操作

2. 自定义权限模型+管理器（不想用第三方库的话） #

如果不想引入外部依赖，可以自己实现轻量版对象权限：

• 创建ObjectPermission模型，字段包含user（外键到User）、content_type（外键到ContentType）、object_id（正整数）、permission（存'view'/'edit'等权限类型）
• 给Company和Project模型写自定义管理器，添加for_user方法自动过滤权限对象：

class CompanyManager(models.Manager):
    def for_user(self, user):
        perm_ids = ObjectPermission.objects.filter(
            user=user,
            content_type=ContentType.objects.get_for_model(Company),
            permission='view'
        ).values_list('object_id', flat=True)
        return self.filter(id__in=perm_ids)

• 视图里直接用Company.objects.for_user(request.user)获取用户可查看的公司，项目同理，这种方式比模型加多对多更灵活，还能扩展编辑、删除等权限类型

3. 视图层统一校验 #

不管用哪种方案，都要做统一的视图校验，比如写个Mixin：

class CompanyPermissionMixin:
    def get_queryset(self):
        return Company.objects.for_user(self.request.user)

基于类的视图继承这个Mixin后，自动过滤查询集，不用重复写校验逻辑

总结下，优先选django-guardian，它已经把对象权限的边界问题（组权限、权限继承、性能）都解决了，不用自己从零踩坑。如果必须自研，自定义权限模型+管理器的方案比你之前的两个选项更可控。

内容的提问来源于stack exchange，提问作者Tobias K.