Django模板权限逻辑异常：无权限用户仍显示导航链接

从你的代码和描述来看，导航栏链接意外显示的问题大概率出在条件判断的逻辑组合或者权限检查的准确性上，咱们一步步拆解：

1. 优先排查外层条件的逻辑问题 #

你模板里的外层判断是：

{% if user_allowed_to_randomize and user_can_randomize or allowed_to_randomize and can_randomize %}

在Django模板中，and的优先级高于or，所以这个条件等价于：

(user_allowed_to_randomize AND user_can_randomize) OR (allowed_to_randomize AND can_randomize)

如果这两组条件中任意一组为真，就会进入这个代码块，进而执行里面的权限检查。哪怕你以为用户没有对应权限，只要外层条件满足，代码块就会被渲染——而链接能显示，说明内部的权限检查实际返回了True，和你预期的权限状态不符。

验证方法： #

在模板中临时添加调试输出，看看这些上下文变量和权限的实际值：

<!-- 临时调试，之后删除 -->
<p>user_allowed_to_randomize: {{ user_allowed_to_randomize }}</p>
<p>user_can_randomize: {{ user_can_randomize }}</p>
<p>allowed_to_randomize: {{ allowed_to_randomize }}</p>
<p>can_randomize: {{ can_randomize }}</p>
<p>perms.randomization.can_randomize: {{ perms.randomization.can_randomize }}</p>
<p>perms.randomization.can_reallocate: {{ perms.randomization.can_reallocate }}</p>

如果这些变量的值和你预期的不符（比如user_allowed_to_randomize意外为True），那就是上下文变量传递的问题，需要检查你的上下文处理器或者视图中这些变量的赋值逻辑。

2. 确认权限检查的准确性 #

Django的权限格式是perms.<app_label>.<permission_codename>，你需要确保：

• 你的模型所在的app名称确实是randomization（检查INSTALLED_APPS中的配置）；
• 权限的codename确实是can_randomize和can_reallocate（可以在Django admin的用户权限列表中查看，或者在shell中执行user.get_all_permissions()来确认用户实际拥有的权限）。

如果app名称写错（比如写成了randomisations）或者codename不对，权限检查会始终返回False，但你说链接显示了，说明这里的检查返回了True，大概率是你误以为用户没有权限，但实际用户是拥有的。

3. 优化条件判断逻辑 #

如果你希望只有当外层条件满足且用户拥有对应权限时才显示链接，应该把权限检查和外层条件结合起来，同时用括号明确分组逻辑，避免优先级混淆：

<div id="randomize" class="dropdown-menu dropdown-menu-right" aria-labelledby="navbarDropdown">
    {% if (user_allowed_to_randomize and user_can_randomize) or (allowed_to_randomize and can_randomize) %}
        {% if perms.randomization.can_randomize %}
            <a class="dropdown-item" href="{% url 'randomization:randomisation_edit' %}">{% trans 'Randomize a patient' %}</a>
        {% endif %}
        {% if perms.randomization.can_reallocate %}
            <div class="dropdown-divider"></div>
            <a class="dropdown-item" href="{% url 'randomization:reallocate_edit' %}">{% trans 'Reallocate a treatment' %}</a>
        {% endif %}
    {% endif %}
</div>

如果你的核心需求是仅通过权限控制链接显示，那可以直接去掉外层的上下文变量判断，简化逻辑：

<div id="randomize" class="dropdown-menu dropdown-menu-right" aria-labelledby="navbarDropdown">
    {% if perms.randomization.can_randomize %}
        <a class="dropdown-item" href="{% url 'randomization:randomisation_edit' %}">{% trans 'Randomize a patient' %}</a>
    {% endif %}
    {% if perms.randomization.can_reallocate %}
        <div class="dropdown-divider"></div>
        <a class="dropdown-item" href="{% url 'randomization:reallocate_edit' %}">{% trans 'Reallocate a treatment' %}</a>
    {% endif %}
</div>

总结 #

先通过调试输出确认上下文变量和权限的实际值，定位问题根源；再根据你的业务需求调整条件判断逻辑，确保只有符合要求的用户才能看到对应链接。

内容的提问来源于stack exchange，提问作者SLATER