Django UserManager调用create_user未触发模型验证器如何解决

根因说明 #

Django的模型字段验证器默认不会在调用save()/create_user()方法时自动执行，admin后台能触发验证是因为Admin组件默认会自动调用模型的full_clean()方法完成全字段校验，你自己实现的create_user逻辑和注册视图没有触发校验步骤，所以会绕过验证器。

解决方法 #

方案1：在UserManager中全局触发验证（推荐，全局生效） #

直接修改自定义的UserManager，在保存用户前主动调用full_clean()触发所有字段的验证逻辑，无论哪里调用create_user都会走校验：

class UserManager(BaseUserManager):
    def create_user(self, email, first_name, last_name, reg_number, password=None):
        if not email:
            raise ValueError('Users must have an email address')

        user = self.model(
            email=self.normalize_email(email),
            first_name=first_name,
            last_name=last_name,
            reg_number=reg_number,
        )
        # 新增：主动触发模型全字段验证
        user.full_clean()
        user.set_password(password)
        user.save()
        return user

方案2：注册视图使用Django表单校验（符合Web开发最佳实践） #

不要直接从request.POST取参数创建用户，用Django的ModelForm做前置校验，既可以自动触发模型验证器，还能直接把错误信息返回给前端，同时自带基础安全防护：

1. 先定义注册表单

from django import forms
from .models import User

class RegisterForm(forms.ModelForm):
    password = forms.CharField(widget=forms.PasswordInput)
    class Meta:
        model = User
        fields = ['email', 'first_name', 'last_name', 'reg_number', 'password']

2. 修改注册视图逻辑

def register_user(request):
    if request.method == "POST":
        form = RegisterForm(request.POST)
        # 表单校验会自动触发模型字段的验证器
        if form.is_valid():
            User.objects.create_user(
                email=form.cleaned_data['email'],
                first_name=form.cleaned_data['first_name'],
                last_name=form.cleaned_data['last_name'],
                reg_number=form.cleaned_data['reg_number'],
                password=form.cleaned_data['password'],
            )
            # 校验通过后跳转登录页等后续逻辑
        else:
            # 校验失败把错误带回前端展示
            return render(request, 'register.html', {'form': form})
    else:
        form = RegisterForm()
    return render(request, 'register.html', {'form': form})

注意事项 #

• 直接调用full_clean()会抛出ValidationError异常，如果不用表单方案，需要在调用create_user的位置捕获异常处理错误返回，避免服务直接返回500。
• 不要跳过校验直接操作用户创建逻辑，除了注册码验证之外，还可能存在非法参数注入的风险。

内容的提问来源于stack exchange，提问作者Toluwalope