DRF中如何过滤Tag模型的ManyToMany字段并保护视图（不修改数据库）

先贴出参考模型定义，方便对应逻辑理解：

from django.db import models
from django.contrib.auth.models import User

class Tag(models.Model):
    name = models.CharField(max_length=100)
    parents = models.ManyToManyField('self', symmetrical=False, related_name='children')
    allowed_users = models.ManyToManyField(User, related_name='allowed_tags')

1. 过滤ManyToMany字段保护视图（仅返回用户有权限的父标签） #

直接在DRF序列化器中处理，通过控制输出内容实现权限过滤，完全不触碰数据库关联数据：

方式一：用SerializerMethodField自定义字段输出 #

from rest_framework import serializers
from .models import Tag

class TagSerializer(serializers.ModelSerializer):
    # 自定义parents字段的序列化逻辑
    parents = serializers.SerializerMethodField()

    class Meta:
        model = Tag
        fields = ['id', 'name', 'parents', 'allowed_users']

    def get_parents(self, obj):
        # 从请求上下文获取当前用户
        user = self.context['request'].user
        # 过滤出当前用户有权限访问的父标签
        allowed_parents = obj.parents.filter(allowed_users__id=user.id)
        # 递归序列化过滤后的结果
        return TagSerializer(allowed_parents, many=True, context=self.context).data

方式二：重写to_representation全局调整输出 #

如果需要同时控制多个字段的过滤逻辑，可重写序列化器的核心输出方法：

class TagSerializer(serializers.ModelSerializer):
    class Meta:
        model = Tag
        fields = ['id', 'name', 'parents', 'allowed_users']

    def to_representation(self, instance):
        # 先获取默认序列化数据
        data = super().to_representation(instance)
        user = self.context['request'].user
        # 替换parents字段为过滤后的结果
        allowed_parents = instance.parents.filter(allowed_users__id=user.id)
        data['parents'] = TagSerializer(allowed_parents, many=True, context=self.context).data
        return data

两种方式都是在序列化输出阶段做过滤，数据库中parents的关联关系完全不会被修改，仅对当前请求的返回结果生效。

2. 不修改数据库的前提下处理ManyToMany字段 #

绝对不要使用tag_instance.parents.set()方法（该方法会直接触发数据库更新），要在内存层面处理关联数据：

场景1：临时展示过滤后的关联数据 #

在视图或业务逻辑中直接生成过滤后的查询集，用于后续处理（比如序列化、业务判断）：

from rest_framework.views import APIView
from rest_framework.response import Response
from .models import Tag
from .serializers import TagSerializer

class TagDetailView(APIView):
    def get(self, request, pk):
        tag = Tag.objects.get(pk=pk)
        # 直接生成过滤后的父标签查询集，不修改实例本身
        allowed_parents = tag.parents.filter(allowed_users__id=request.user.id)
        # 用序列化器返回数据（已集成过滤逻辑）
        serializer = TagSerializer(tag, context={'request': request})
        return Response(serializer.data)

场景2：反序列化时验证关联权限（创建/更新标签） #

如果需要在创建或更新标签时，验证用户是否有权限关联指定的父标签，在序列化器的validate方法中处理：

class TagSerializer(serializers.ModelSerializer):
    class Meta:
        model = Tag
        fields = ['id', 'name', 'parents', 'allowed_users']

    def validate_parents(self, value):
        user = self.context['request'].user
        # 逐个验证父标签的访问权限
        for parent in value:
            if user not in parent.allowed_users.all():
                raise serializers.ValidationError(f"无权关联标签：{parent.name}")
        return value

该逻辑仅做权限校验，不会修改数据库，只有通过校验后，DRF才会执行正常的创建/更新流程。

内容的提问来源于stack exchange，提问作者Alexander Mirnyy