Django开发中如何实现新建帖子与当前登录用户的自动关联

核心修正思路 #

完全移除表单中对user字段的对外暴露，在表单验证通过、保存到数据库前，由视图层主动将当前登录用户对象赋值给帖子实例的user外键字段，从逻辑上既不会错绑模型默认用户，也完全规避前端篡改身份的越权风险。 #

分步修正代码 #

1. 调整forms.py配置 #

从表单可渲染、可接收的字段列表中彻底删掉user，避免前端出现该字段的输入项，也拒绝接收前端传过来的任意user参数：

from django import forms
from .models import Post

class PostForm(ModelForm):
    class Meta:          
        model = Post          
        # 移除user字段，仅保留用户实际可填写的内容
        fields = ["image", "titre", "slug"]

设计逻辑说明：如果把user放在fields里，哪怕前端把这个输入框隐藏，懂技术的用户也可以抓包修改请求里的user参数，伪造任意用户身份发帖，存在极高的权限安全隐患，彻底从表单层移除是最安全的处理方式。

2. 优化model.py的字段配置 #

移除user字段的默认值设置，避免漏绑用户时错绑id=1的测试用户：

from django.db import models
from django.contrib.auth.models import User

class Post(models.Model):      
    # 删除default=1的配置，保存时强制要求传入合法用户
    user = models.ForeignKey(User,on_delete=models.CASCADE)      
    image = models.ImageField(default="man.jpg")      
    titre = models.CharField(max_length=50)      
    slug = models.SlugField(max_length=100)      
    date_publication = models.DateTimeField(auto_now_add=True)

补充说明：原代码中设置的default=1是无自动绑定逻辑时的临时兜底，长期保留会掩盖绑定逻辑的bug，建议删掉。

3. 修正view.py的保存逻辑 #

• 修复原代码中GET请求时错误传入request.POST初始化表单的问题
• 表单验证通过后，先不直接写入数据库（commit=False），手动给帖子实例赋值当前登录用户，再执行保存
• 补充图片上传所需的请求参数支持

from django.contrib.auth.decorators import login_required
from django.contrib import messages
from django.shortcuts import redirect, render
from .forms import PostForm

# 注意函数缩进要符合Python语法规范，与装饰器保持同级缩进
@login_required  
def post_create(request):      
    if request.method == "POST":          
        # 包含图片上传时，需要传入request.FILES参数才能正常接收文件
        post_form = PostForm(request.POST, request.FILES)  
        if post_form.is_valid():              
            # 先拿到表单实例，不立刻写入数据库
            post_instance = post_form.save(commit=False)
            # 核心逻辑：强制绑定当前登录用户，不受前端传参影响
            post_instance.user = request.user
            # 完成真正的数据库保存
            post_instance.save()

            messages.success(request, 'Your post was successfully created!')              
            return redirect('seed:view_seed')          
        else:              
            messages.error(request, 'Please correct the error below.') 
    else:          
        # 原代码错误：GET请求时传入了空的request.POST，应无参初始化空表单
        post_form = PostForm()    

    return render(request, "post/create.html", context={"post_form": post_form})  

常见踩坑提示 #

• 因为已经加了@login_required装饰器，进入视图时必然存在合法登录用户，不会出现request.user为匿名用户的报错
• 这种实现方式不需要用户在前端填写任何和身份相关的内容，完全由后端逻辑强制绑定真实登录用户，前端哪怕篡改请求参数，也无法修改帖子归属的用户
• 原代码中装饰器下方的函数缩进格式有误，需要调整为Python规范的缩进层级，否则会触发语法错误

内容的提问来源于stack exchange，提问作者Alain Turner