Django外键关联场景下ModelForm实现多表关联数据提交的方法

当你在EducationForm的Meta配置中通过exclude = ['person']排除外键字段后，前端提交的表单数据里不会携带person关联值。而Education模型中的person外键默认是非空约束（未显式设置null=True, blank=True时），表单校验阶段会直接因为必填字段缺失抛出校验错误，最终导致数据无法入库。

很多时候你感知不到明确报错，是因为模板没有把表单的字段级、非字段级错误正常渲染出来，看起来就是“点了提交没反应、数据存不进去”的假象。

单教育经历表单的修复步骤 #

• 不要在POST请求实例化表单时直接传request.POST创建空的表单对象，要提前给待创建的Education实例绑定好对应的person关联值
• 关联的person对象从当前登录用户的上下文获取，即通过当前认证用户查询关联的Person记录（简历站点的常规结构中，Person表通常和Django内置User表为一对一关联）
• 实例化表单时通过instance参数，把已绑定person的空Education对象传入表单，让表单在拿到用户提交的字段值后，能直接把person关联值一起写入数据库

对应视图层参考实现 #

def save_education(request):
    if request.method == "POST":
        # 获取当前登录用户关联的Person实例
        current_person = Person.objects.get(user=request.user)
        # 把person值预绑定到Education实例上，避免外键缺失
        form = EducationForm(request.POST, instance=Education(person=current_person))
        if form.is_valid():
            form.save()
            return redirect("resume_preview")
    else:
        form = EducationForm()
    return render(request, "form/education_edit.html", {"form": form})

同一外键关联多业务表的ModelForm通用使用规范 #

简历场景下通常会有Education/WorkExperience/ProjectExperience等多张表，全部关联同一个Person外键，这类场景的ModelForm使用要遵循以下规则：

• 所有关联Person的业务表ModelForm，统一把person字段加入exclude列表，不向前端暴露这个字段的提交入口，从根源上减少越权风险
• 抽离公共的表单初始化逻辑，统一在视图层为所有这类业务表单注入当前用户的Person关联值，避免每个视图重复写相同的person查询、绑定代码
• 在表单的clean方法中增加兜底校验：哪怕前端意外传入了篡改的person字段值，也要强制覆盖为当前用户的合法Person对象，防止攻击者通过修改表单字段ID，往其他用户的简历里写入非法数据
• 编辑已有业务数据时，除了绑定person关联值，还要增加权限校验环节：确认待编辑的Education/WorkExperience等对象，确实属于当前登录用户的Person，避免越权修改其他用户的简历内容

内容的提问来源于stack exchange，提问作者Pravin Pandya