Django ORM按项目设置用户读/编辑权限的最优实现方案咨询

核心结论 #

你的场景最适合使用带额外字段的多对多中间表实现，不需要单独维护独立的Permissions表，也不需要把Permissions表作为中间表使用。 #

具体实现逻辑 #

你需要的「同一用户在不同项目下权限不同」的需求，本质是User和Project的多对多关联关系本身附带属性，这正好是Django多对多中间表的标准使用场景，直接把权限字段整合到中间表即可，避免冗余的表关联。

代码实现 #

1. 新增多对多中间表，写入权限字段

class ProjectUserPermission(models.Model):
    user = models.ForeignKey(CustomUser, on_delete=models.CASCADE)
    project = models.ForeignKey(Project, on_delete=models.CASCADE)
    # 原Permissions表的权限字段直接迁移到此处
    can_read = models.BooleanField(default=True)
    can_read_and_edit = models.BooleanField(default=False)
    # 其他自定义权限字段按需添加

    class Meta:
        # 保证一个用户在单个项目下只有一条权限记录，避免数据冗余
        unique_together = ('user', 'project')

2. 修改原Project模型的多对多字段，指定中间表

class Project(models.Model):
    # 新增through参数绑定自定义中间表，原关联逻辑不需要改动
    user = models.ManyToManyField(CustomUser, related_name="projects", through=ProjectUserPermission)

常用操作示例 #

• 给用户分配项目权限：

# 给用户user_a分配项目project_b的编辑权限
ProjectUserPermission.objects.create(
    user=user_a, 
    project=project_b, 
    can_read_and_edit=True
)

• 校验用户在指定项目的权限：

# 查询当前用户在目标项目的权限
perm = ProjectUserPermission.objects.get(user=request.user, project=target_project)
if perm.can_read_and_edit:
    # 执行编辑逻辑

常见问题解答 #

1. 是否应当将Permission表作为多对多关系的中间表使用？
   不需要。你现有设计的Permissions表没有关联User和Project的外键，如果单独作为中间表还需要额外加关联字段，不如直接把权限字段合并到中间表，减少多余的表查询开销，也符合Django ORM的设计规范。
2. 是否存在更合理的实现方式？
   如果你的业务场景有固定的角色复用需求（比如所有项目都统一有「访客/开发者/管理员」三类角色，权限固定），可以再加一层角色表，进一步简化权限配置：

# 角色表，预定义不同角色的权限
class Role(models.Model):
    name = models.CharField(max_length=32, unique=True, verbose_name="角色名")
    can_read = models.BooleanField(default=True)
    can_read_and_edit = models.BooleanField(default=False)
    # 其他权限字段

# 中间表改为关联用户、项目、角色
class ProjectUserRole(models.Model):
    user = models.ForeignKey(CustomUser, on_delete=models.CASCADE)
    project = models.ForeignKey(Project, on_delete=models.CASCADE)
    role = models.ForeignKey(Role, on_delete=models.CASCADE)

    class Meta:
        unique_together = ('user', 'project')

这种方案适合角色固定的场景，不需要给每个用户每个项目单独配置权限，直接分配角色即可。如果你的业务权限灵活度很高，每个用户在不同项目的权限差异大，直接用第一种带权限字段的中间表即可。

内容的提问来源于stack exchange，提问作者firefly