django-contrib-comments为何不使用ModelForm生成CommentForm类

主要有以下几方面的设计考量：

• 安全字段隔离
  Comment模型中包含大量不允许前端用户提交修改的敏感字段，例如user（评论关联用户）、ip_address（评论者IP）、content_type（被评论对象类型）、submit_date（提交时间）等。如果直接使用ModelForm生成表单，即便通过exclude参数隐藏字段，也存在被恶意构造请求篡改字段的风险。独立定义的CommentForm可以完全限定可提交的字段范围，从根源上避免权限绕过漏洞。
• 校验逻辑分层
  评论表单的很多校验规则不属于模型层的通用约束，更适合放在表单层独立实现：
  • 校验当前站点是否开启匿名评论权限，未开启时强制要求用户登录
  • 校验被评论的目标对象是否存在、是否开放评论权限
  • 对评论内容做敏感词过滤、垃圾内容检测
    这些逻辑如果写在ModelForm中，会和模型本身的逻辑耦合，不利于框架的通用复用。
• 扩展灵活性更高
  作为通用评论框架，需要适配不同项目的自定义需求。独立的CommentForm没有和Comment模型强绑定，开发者可以直接继承CommentForm新增自定义字段、修改校验规则，不需要改动模型层代码，也不会影响模型层面的其他逻辑。
• 历史兼容保留
  这个框架最早是Django内置的contrib.comments组件，设计之初Django的ModelForm功能还不完善，很多自定义场景的支持度较差，独立表单的设计就一直保留了下来，也避免了后续Django版本迭代中ModelForm的逻辑变动影响评论功能的稳定性。

内容的提问来源于stack exchange，提问作者Yan Tian