Django网站views.py中如何区分普通登录用户与超级用户并实现权限隔离？

一、先排查模板里user.is_superuser判断失效的原因 #

• 模板上下文没传user对象：很多后端框架（比如Django、Flask）默认会把登录用户对象注入模板上下文，但如果用了自定义渲染逻辑，比如Django里用render_to_response而不是render，就会丢了user。改回框架推荐的渲染方式就行：

  # Django 错误写法
  return render_to_response('blog/post.html', {'posts': posts})
  # 正确写法，自动传入包含user的上下文
  return render(request, 'blog/post.html', {'posts': posts})
  

• 用户未真正登录：如果用户是匿名状态或者登录会话失效，user.is_superuser自然是False。检查登录流程是否正常，比如有没有用框架的认证装饰器（Django的@login_required、Flask的@login_required）确保只有登录用户能访问页面。
• 模板语法错了：普通HTML不支持直接写if user.is_superuser，必须用对应框架的模板标签语法。比如Django要写{% if user.is_superuser %}，Flask-Jinja2是{% if current_user.is_superuser %}，别漏了模板标签的分隔符。

二、正确实现权限区分的完整流程 #

1. 后端必须做权限拦截（不能只靠前端） #

前端隐藏按钮只是视觉上的限制，用户可以直接访问创建文章的接口绕过前端。所以后端一定要加校验：

• Django函数视图示例：

  from django.contrib.auth.decorators import user_passes_test
  
  # 自定义校验函数，确保是登录的超级用户
  def check_superuser(user):
      return user.is_authenticated and user.is_superuser
  
  @user_passes_test(check_superuser)
  def create_post(request):
      # 处理创建文章的逻辑
      pass
  

• Django类视图示例：

  from django.contrib.auth.mixins import UserPassesTestMixin
  from django.views.generic.edit import CreateView
  from .models import Post
  
  class PostCreateView(UserPassesTestMixin, CreateView):
      model = Post
      fields = ['title', 'content']
  
      def test_func(self):
          return self.request.user.is_authenticated and self.request.user.is_superuser
  

2. 前端模板正确控制元素显示 #

用框架的模板语法判断，只给超级用户显示创建文章的入口：

<!-- Django 模板示例 -->
{% if user.is_superuser %}
  <button><a href="{% url 'post_create' %}">创建新文章</a></button>
{% endif %}

3. 可选：更细粒度的权限控制 #

如果以后需要给非超级用户开放文章创建权限，可以用框架的自定义权限功能。比如Django里给Post模型加权限，然后给特定用户/组分配，用user.has_perm('blog.add_post')来判断权限，比单纯用is_superuser更灵活。

内容的提问来源于stack exchange，提问作者Oyewole