Django保存用户关联组报错：禁止直接赋值多对多集合，求解决

错误原因 #

你遇到的Direct assignment to the forward side of a many-to-many set is prohibited. Use groups.set() instead错误，本质是Django中多对多字段不能在创建对象时直接赋值。User与Group是多对多关联，groups是多对多集合，无法通过create()方法直接传入单个Group对象完成绑定。

核心修正点 #

1. 拆分用户创建与组关联步骤：先创建User对象，再通过多对多字段的add()或set()方法绑定组。
2. 优化冗余逻辑：移除代码中重复的if request.method == 'POST'判断，避免逻辑嵌套混乱。
3. 规避SQL注入风险：原代码直接拼接SQL存储过程参数存在注入隐患，改用参数化调用方式。

修正后的完整代码 #

@login_required
#@allowed_users(allowed_roles=['Administrador'])
def crearusuario(request):
    data = {
        'empleado': CrearEmpleadoForm()
    }
    if request.method == "POST":
        # 简化必填字段校验
        required_fields = ['rut', 'nombres', 'apellidos', 'correo_electronico', 'usuario', 'contrasena', 'activo', 'cargo_empleado', 'id_empresa', 'id_unida', 'group']
        if all(request.POST.get(field) for field in required_fields):
            usersave = Empleado()
            usersave.rut = request.POST.get('rut')
            usersave.nombres = request.POST.get('nombres')
            usersave.apellidos = request.POST.get('apellidos')
            usersave.correo_electronico = request.POST.get('correo_electronico')
            usersave.usuario = request.POST.get('usuario')
            usersave.contrasena = make_password(request.POST.get('contrasena'))
            usersave.activo = request.POST.get('activo')
            usersave.cargo_empleado = CargoEmpleado.objects.get(pk=request.POST.get('cargo_empleado'))
            usersave.id_empresa = Empresa.objects.get(pk=request.POST.get('id_empresa'))
            usersave.id_unida = UnidadInterna.objects.get(pk=request.POST.get('id_unida'))

            formulario = CrearEmpleadoForm(data=request.POST)
            if formulario.is_valid():
                username = request.POST.get('rut')
                password = request.POST.get('rut')
                first_name = request.POST.get('nombres')
                last_name = request.POST.get('apellidos')
                email = request.POST.get('correo_electronico')
                # 获取选中的组（多选场景改用request.POST.getlist('group')）
                group = Group.objects.get(pk=request.POST.get('group'))
                cargo = CargoEmpleado.objects.get(pk=request.POST.get('cargo_empleado'))
                
                # 1. 先创建User对象，不传入groups参数
                user = get_user_model().objects.create(
                    username=username,
                    password=make_password(password),
                    first_name=first_name,
                    last_name=last_name,
                    email=email,
                    cargo_empleado=cargo,
                    is_active=True
                )
                # 2. 用add()绑定单个组，多选则用user.groups.set([group1, group2])
                user.groups.add(group)

                # 参数化调用存储过程，避免SQL注入
                with connection.cursor() as cursor:
                    cursor.execute(
                        "call SP_crear_usuario(%s, %s, %s, %s, %s, %s, %s, %s, %s, %s)",
                        [
                            usersave.rut, usersave.nombres, usersave.apellidos,
                            usersave.correo_electronico, usersave.usuario, usersave.contrasena,
                            usersave.activo, str(usersave.cargo_empleado.id),
                            str(usersave.id_empresa.id), str(usersave.id_unida.id)
                        ]
                    )
                messages.success(request, f"El empleado {usersave.nombres} se guardo correctamente ")
                return render(request, 'app/crearusuario.html', data)
            else:
                return render(request, "app/crearusuario.html", {'empleado': formulario})
        else:
            messages.error(request, "Por favor complete todos los campos requeridos")
            return render(request, 'app/crearusuario.html', data)
    else:
        return render(request, 'app/crearusuario.html', data)

关于Group字段调用的说明 #

Group.objects.get(pk=request.POST.get('group'))的调用是正确的，前提满足：

• 前端表单中组选择框的name属性为group
• 提交的是Group模型的主键值（如ID）
  如果是多选组场景，需要改为request.POST.getlist('group')获取所有选中的组ID，再通过Group.objects.filter(pk__in=组ID列表)查询，最后用user.groups.set(查询结果)完成批量绑定。

内容的提问来源于stack exchange，提问作者Cristobal Novoa