Django PIN激活时自动创建访客Profile及表单权限组适配方案

核心需求梳理 #

• 访客验证有效充值PIN码后，自动生成对应Profile档案
• 用户创建表单按场景动态加载用户组选项：管理员创建用户时展示全量用户组，访客PIN激活后注册时仅展示Guest组

一、PIN验证流程优化与Profile自动创建实现 #

现有post_save信号已经覆盖管理员创建用户时自动生成Profile的逻辑，无需额外开发新信号，只要保证访客注册创建User实例时信号正常触发即可，仅需调整PIN激活和注册跳转流程，绑定PIN验证状态与访客注册场景：

1. 调整PIN激活视图，验证通过后将验证状态存入session，标记当前为访客注册场景：

def pin_activation(request):
    if request.method == "POST":
        form = PinActivationForm(request.POST)
        if form.is_valid():
            input_pin = form.cleaned_data['pin']
            # 必须用cleaned_data取值，禁止直接读取form字段原始值，避免校验绕过
            valid_pin = Pin.objects.filter(value=input_pin, status='Not Activated').first()
            if valid_pin:
                valid_pin.status = 'Activated'
                valid_pin.save()
                # 将验证通过标记存入session
                request.session['validated_pin'] = str(input_pin)
                request.session['is_guest_register'] = True
                messages.success(request, 'PIN激活成功，请完成账号注册')
                return redirect('user-register')
            else:
                messages.error(request, 'PIN已激活，请直接登录')
                return redirect('guest-index')
        else:
            messages.error(request, '输入有误，请重试')
    else:
        form = PinActivationForm()
    return render(request, 'user/pin_activation.html', {'form': form})

2. 确认用户创建信号逻辑正确，所有新User实例生成时自动创建关联Profile：

from django.db.models.signals import post_save
from django.contrib.auth.models import User
from django.dispatch import receiver
from .models import Profile

@receiver(post_save, sender=User)
def create_user_profile(sender, instance, created, **kwargs):
    if created:
        Profile.objects.get_or_create(user=instance)

信号需要在对应app的apps.py的ready()方法中导入，否则不会生效。该逻辑对管理员创建用户、访客自行注册两个场景同时生效，无需单独为访客场景开发Profile创建逻辑。

二、CreateUserForm动态用户组选项实现 #

重写表单__init__方法，接收视图传入的请求参数，根据session中的场景标记动态修改group字段的查询集即可：

1. 修正forms.py中的CreateUserForm代码（原代码中EmailField缺少实例化括号，会导致字段不生效）：

from django import forms
from django.contrib.auth.forms import UserCreationForm
from django.contrib.auth.models import User, Group

class CreateUserForm(UserCreationForm):
    email = forms.EmailField(required=True)
    # 初始化时先将group查询集置空，后续按场景动态赋值
    group = forms.ModelChoiceField(queryset=Group.objects.none(), required=True)

    class Meta:
        model = User
        fields = ['username', 'email', 'password1', 'password2', 'group']

    def __init__(self, *args, **kwargs):
        # 从初始化参数中提取request对象
        self.request = kwargs.pop('request', None)
        super().__init__(*args, **kwargs)
        # 判断当前场景
        if self.request and self.request.session.get('is_guest_register', False):
            # 访客注册场景仅加载Guest组，默认选中
            guest_group = Group.objects.filter(name='Guest').first()
            self.fields['group'].queryset = Group.objects.filter(name='Guest')
            self.initial['group'] = guest_group
            # 可选项：将group字段设为隐藏，防止前端篡改参数提权
            # self.fields['group'].widget = forms.HiddenInput()
        else:
            # 管理员创建用户场景加载全部用户组
            self.fields['group'].queryset = Group.objects.all()

    def save(self, commit=True):
        user = super().save(commit=commit)
        # 保存时自动将用户加入选中的权限组
        user.groups.add(self.cleaned_data['group'])
        # 注册完成后清除session中的访客标记，避免后续创建用户被误判
        if self.request:
            self.request.session.pop('is_guest_register', None)
            self.request.session.pop('validated_pin', None)
        return user

2. 调整注册视图，将request对象传入表单初始化参数，同时增加访问权限校验：

def user_register(request):
    is_guest = request.session.get('is_guest_register', False)
    # 非访客场景必须是管理员才能访问注册页，访客场景必须有已验证的PIN标记
    if not is_guest and not request.user.is_superuser:
        return redirect('pin-activation')
    if request.method == 'POST':
        form = CreateUserForm(request.POST, request=request)
        if form.is_valid():
            form.save()
            # 补充后续自动登录、页面跳转逻辑
            return redirect('login')
    else:
        form = CreateUserForm(request=request)
    return render(request, 'user/register.html', {'form': form})

补充注意事项 #

• 访客注册场景建议开启group字段隐藏，避免用户通过篡改前端请求参数加入高权限组
• PIN校验逻辑必须使用表单校验后的cleaned_data取值，禁止直接读取请求原始参数
• 可以在PIN模型中增加关联用户的外键字段，注册完成后将当前用户与已激活的PIN做绑定，方便后续票务权限校验

内容的提问来源于stack exchange，提问作者apollos