如何在Django的API请求中为用户批量添加权限？

你提供的代码是用于给单个用户添加单个权限的，翻译并说明如下：

# 获取用户名是"admin_user_1"的用户对象
u = User.objects.get(username="admin_user_1")
# 获取名称为"Can add user"的权限对象
permission = Permission.objects.get(name="Can add user")
# 给该用户添加这个权限
u.user_permissions.add(permission)

不需要用循环，Django的多对多关系add()方法本身就支持批量操作，直接一次性传入多个权限对象即可，具体实现如下：

批量添加权限的代码示例 #

假设你从API请求体中获取到一组权限代码名称（推荐用codename而非name，因为codename不会随语言环境变化，更稳定），比如前端传递的权限列表是["add_user", "change_user", "delete_user"]，可以这么写：

from django.contrib.auth.models import User, Permission
from rest_framework.response import Response

def assign_permissions(request):
    # 从API请求中提取权限代码列表
    permission_codenames = request.data.get("permission_codenames", [])
    if not permission_codenames:
        return Response({"status": "error", "message": "未提供权限列表"})
    
    # 获取目标用户
    try:
        user = User.objects.get(username="admin_user_1")
    except User.DoesNotExist:
        return Response({"status": "error", "message": "用户不存在"})
    
    # 批量查询所有需要的权限对象
    permissions = Permission.objects.filter(codename__in=permission_codenames)
    
    # 一次性添加所有权限，无需循环
    user.user_permissions.add(*permissions)
    
    return Response({"status": "success", "message": f"已添加{len(permissions)}个权限"})

关键细节说明 #

• user_permissions.add()支持接收多个参数，用*permissions将查询集解包后传入，Django会自动处理批量插入，比循环调用add()减少数据库交互次数，效率更高。
• 优先使用codename过滤权限：name字段会随Django语言设置改变（比如中文环境下是"可以添加用户"），而codename是固定标识（比如add_user），避免因语言差异导致权限查询失败。
• 可添加异常处理逻辑，比如用户不存在、权限列表为空的情况，提升接口健壮性。

内容的提问来源于stack exchange，提问作者Jawahar Muthukumaran