Django auth组权限异常：用户在授权组但has_perm返回False

以下是针对问题的具体排查步骤：

• 刷新用户权限缓存：Django会缓存用户权限信息，若你是在运行时动态给用户分配组，必须重新从数据库拉取用户对象才能让新权限生效。调试时可执行：

  user = User.objects.get(id=user.id)
  

  之后再调用user.has_perm('market.xyz')测试。

• 校验权限标识准确性：确认market.xyz这个权限字符串完全正确，对应权限的app_label和codename必须和数据库记录一致。可通过以下查询验证权限是否存在：

  from django.contrib.auth.models import Permission
  Permission.objects.filter(content_type__app_label='market', codename='xyz').exists()
  

• 确认关联关系有效性：直接通过数据库查询验证三层关联是否正确：

  1. 用户是否属于目标组：user.groups.filter(name='你的组名').exists()
  2. 目标组是否包含该权限：user.groups.first().permissions.filter(content_type__app_label='market', codename='xyz').exists()

• 检查中间件配置：确保MIDDLEWARE配置中包含以下中间件（Django默认已添加，但若手动修改过配置可能遗漏）：

  'django.contrib.auth.middleware.AuthenticationMiddleware',
  'django.contrib.auth.middleware.SessionAuthenticationMiddleware',  # Django 1.10+ 可省略
  

  这两个中间件是用户认证状态和权限生效的基础。

• 自定义用户模型排查：若使用了自定义用户模型，必须确保模型继承了PermissionsMixin（或AbstractUser，它已包含该Mixin）。如果是基于AbstractBaseUser自定义且未添加PermissionsMixin，需手动实现权限相关方法，否则组权限无法被正确识别。

• 跟进has_perm源码调试：若以上步骤都没问题，可在调试器里进入user.has_perm的默认实现，查看具体判断逻辑。默认逻辑会先检查用户自身权限，再遍历所属组的权限，你可以确认组权限是否被正确遍历到。

关于组权限机制的说明 #

Django的组权限机制默认是激活状态，无需额外配置开关。官方文档明确说明：

组内用户自动拥有该组授予的权限。例如，若“Site editors”组拥有can_edit_home_page权限，组内所有用户都将拥有该权限。

内容的提问来源于stack exchange，提问作者moin moin