在Django+DRF电商项目中如何实现组权限的分组管理？

针对你自定义后台的动态角色权限需求，有两种可行方案，具体如下：

方案一：基于Django Group扩展角色模型（复用现有组权限配置） #

如果你已经为各应用配置好了Group权限，可以通过扩展Role模型关联多个Group，实现角色的权限合并：

1. 定义Role模型 #

让角色和Group建立多对多关系，一个角色可以绑定多个业务组（比如Operator绑定products和warehouses组）：

from django.db import models
from django.contrib.auth.models import Group

class Role(models.Model):
    name = models.CharField(max_length=100, unique=True, verbose_name="角色名称")
    groups = models.ManyToManyField(Group, related_name="bound_roles", verbose_name="关联权限组")
    description = models.TextField(blank=True, verbose_name="角色描述")

    def __str__(self):
        return self.name

2. 扩展User模型 #

给用户添加多对多的角色关联，支持用户拥有多个角色：

from django.contrib.auth.models import AbstractUser

class CustomUser(AbstractUser):
    roles = models.ManyToManyField(Role, related_name="assigned_users", blank=True, verbose_name="所属角色")

3. 权限合并与校验 #

自定义DRF权限类，自动合并用户所属角色关联的所有Group权限，以及用户自身的权限：

from rest_framework.permissions import BasePermission

class RoleGroupPermission(BasePermission):
    def has_permission(self, request, view):
        user = request.user
        if not user.is_authenticated:
            return False
        
        # 获取用户所有角色绑定的Group ID
        bound_group_ids = user.roles.values_list("groups__id", flat=True)
        # 提取这些Group的所有权限编码
        group_perms = set(user.groups.filter(id__in=bound_group_ids).values_list("permissions__codename", flat=True))
        # 合并用户自身权限与组权限
        all_perms = set(user.user_permissions.values_list("codename", flat=True)) | group_perms

        # 校验视图所需权限（需在视图类中定义required_permissions属性）
        if hasattr(view, "required_permissions"):
            return all(perm in all_perms for perm in view.required_permissions)
        # 超级管理员默认拥有所有权限
        return user.is_superuser

后台操作逻辑 #

SuperAdmin在自定义面板创建角色时，直接勾选该角色需要关联的Group（比如Operator勾选products和warehouses组），分配角色给用户后，用户自动继承这些Group的所有权限。

方案二：直接基于Permission定义角色（更细粒度控制） #

如果需要更灵活的权限控制，可跳过Group，让角色直接关联单个Permission：

1. 定义Role模型 #

让角色和Permission建立多对多关系，直接为角色分配具体权限：

from django.db import models
from django.contrib.auth.models import Permission

class Role(models.Model):
    name = models.CharField(max_length=100, unique=True, verbose_name="角色名称")
    permissions = models.ManyToManyField(Permission, related_name="bound_roles", verbose_name="关联权限")
    description = models.TextField(blank=True, verbose_name="角色描述")

    def __str__(self):
        return self.name

2. 权限校验逻辑 #

合并用户自身权限和所有角色的权限：

def get_user_all_permissions(user):
    # 提取用户自身权限
    user_perms = set(user.user_permissions.values_list("codename", flat=True))
    # 提取所有角色的权限
    role_perms = set(user.roles.values_list("permissions__codename", flat=True))
    # 返回合并后的权限集合
    return user_perms | role_perms

在DRF权限类中调用这个方法即可完成权限校验，逻辑和方案一类似。

方案选择建议 #

• 若已完成各应用的Group权限配置，优先选方案一，可复用现有配置，减少重复工作；
• 若需要更细粒度的权限控制（比如只为角色分配某几个具体权限，而非整个组），选方案二更灵活。

优化建议 #

为避免每次请求都查询数据库，可将用户的权限集合缓存到Redis或Django缓存中，当用户角色/权限变更时，清理对应缓存即可。

内容的提问来源于stack exchange，提问作者Apollo Vostok