Django Rest Framework关联对象创建时的权限处理方案探讨

针对你描述的场景，最优方案是在序列化器中统一处理权限验证与关联对象存在性检查，同时利用序列化器的字段验证机制避免非法输入导致的500错误，具体实现如下：

from django.core.exceptions import ObjectDoesNotExist
from rest_framework import serializers
from .models import Daddy, Kiddy

class KiddySerializer(serializers.ModelSerializer):
    # 先以整数类型接收daddy的ID，让序列化器自动处理格式验证
    daddy = serializers.IntegerField()

    class Meta:
        model = Kiddy
        fields = ['title', 'daddy']

    def validate_daddy(self, daddy_id):
        user = self.context['request'].user
        try:
            # 尝试查询对应的Daddy对象
            daddy = Daddy.objects.get(pk=daddy_id)
        except (ObjectDoesNotExist, ValueError):
            # 捕获对象不存在、ID格式非法（比如字符串转整数失败）的情况
            raise serializers.ValidationError("The Daddy does not exist or you don't have permission to use it")
        
        # 验证当前用户是否是Daddy的所有者
        if daddy.owner != user:
            raise serializers.ValidationError("The Daddy does not exist or you don't have permission to use it")
        
        # 返回Daddy对象，序列化器会自动完成关联映射
        return daddy

方案优势 #

1. 统一错误提示：不管是Daddy不存在、用户无权限，还是输入的ID格式非法，都会返回统一的错误信息，符合需求。
2. 避免500错误：通过IntegerField自动验证输入格式，非法值（如字符串）会被序列化器提前拦截，不会触发数据库查询错误。
3. 职责清晰：遵循DRF最佳实践，将验证逻辑放在序列化器中，与视图层解耦，代码更易维护。
4. 无需额外权限类：不需要重写has_permission方法，避免权限验证先于序列化器导致的各种问题。

补充说明 #

如果你希望保留PrimaryKeyRelatedField的自动对象转换功能，也可以通过重写字段的to_internal_value方法来统一处理异常：

class PermissionPrimaryKeyRelatedField(serializers.PrimaryKeyRelatedField):
    def to_internal_value(self, data):
        user = self.context['request'].user
        try:
            instance = self.queryset.get(pk=data)
            if instance.owner != user:
                raise serializers.ValidationError("The Daddy does not exist or you don't have permission to use it")
            return instance
        except ObjectDoesNotExist:
            raise serializers.ValidationError("The Daddy does not exist or you don't have permission to use it")

class KiddySerializer(serializers.ModelSerializer):
    daddy = PermissionPrimaryKeyRelatedField(queryset=Daddy.objects.all())

    class Meta:
        model = Kiddy
        fields = ['title', 'daddy']

这个方案同样能实现统一错误提示，且保留了PrimaryKeyRelatedField的原有特性，适合需要复用该验证逻辑的场景。

内容的提问来源于stack exchange，提问作者CurlyError