Django中能否全局过滤ORM查询？探讨middleware与model manager方案

当然可以实现！而且你提到的两个思路——Hook ORM本身、子类化Model Manager——都是可行的方向，甚至还有更成熟的组合方案。咱们一步步拆解：

一、子类化Model Manager（最推荐、可控性强） #

这其实是Django官方推崇的自定义查询逻辑的方式，完全能满足你“基于认证凭据过滤特定模型所有查询”的需求，而且不会乱改全局逻辑。

核心思路是：给需要过滤的模型自定义一个Manager，重写get_queryset()方法，加入基于当前用户的过滤规则；同时通过**线程本地存储（threadlocal）**在请求周期内传递当前认证用户，让Manager能拿到用户信息。

具体步骤： #

1. 创建ThreadLocal工具类，用来在请求线程中存储当前用户：

# utils/threadlocal.py
import threading

_local = threading.local()

def set_current_user(user):
    _local.user = user

def get_current_user():
    return getattr(_local, 'user', None)

2. 写Middleware存储当前用户：
   在请求进来时，把认证后的用户存到threadlocal里，这样后续ORM查询就能拿到：

# middleware/user_middleware.py
from django.utils.deprecation import MiddlewareMixin
from utils.threadlocal import set_current_user

class CurrentUserMiddleware(MiddlewareMixin):
    def process_request(self, request):
        if hasattr(request, 'user') and request.user.is_authenticated:
            set_current_user(request.user)
        else:
            set_current_user(None)

记得把这个Middleware加到settings.py的MIDDLEWARE列表里。

3. 自定义带过滤逻辑的Manager：
   比如我们要给Document模型做过滤：普通用户只能看自己创建的文档，管理员能看所有文档。

# managers.py
from django.db import models
from utils.threadlocal import get_current_user

class DocumentManager(models.Manager):
    def get_queryset(self):
        qs = super().get_queryset()
        user = get_current_user()
        if user is None:
            # 未登录用户返回空（或根据需求调整）
            return qs.none()
        if user.is_superuser or user.has_perm('view_all_documents'):
            # 管理员/有权限的用户看全部
            return qs
        # 普通用户只看自己的文档
        return qs.filter(created_by=user)

4. 给模型绑定这个Manager：

# models.py
from django.db import models
from managers import DocumentManager

class Document(models.Model):
    title = models.CharField(max_length=255)
    created_by = models.ForeignKey(User, on_delete=models.CASCADE)
    # ...其他字段
    
    objects = DocumentManager()

这样之后，所有Document.objects.all()、Document.objects.filter(...)都会自动带上用户过滤规则，不用修改现有视图代码！

二、全局Hook ORM（慎用，适合全模型统一规则） #

如果你需要对所有模型都应用某种全局过滤（比如多租户场景），可以考虑Hook ORM的底层逻辑，但这种方式风险较高，容易影响意料之外的查询（比如admin后台、第三方库的查询）。

一种实现方式是自定义全局QuerySet，然后替换Django默认的QuerySet基类：

# utils/global_queryset.py
from django.db.models.query import QuerySet
from utils.threadlocal import get_current_user

class GlobalFilteredQuerySet(QuerySet):
    def __init__(self, model=None, query=None, using=None, hints=None):
        super().__init__(model, query, using, hints)
        user = get_current_user()
        if user and hasattr(self.model, 'created_by'):
            # 只对有created_by字段的模型应用过滤
            self.query.add_q(models.Q(created_by=user))

# 替换默认QuerySet
from django.db.models import Model
Model._default_manager = GlobalFilteredQuerySet.as_manager()

注意：这种方式会影响所有继承自Model的模型，一定要做好例外处理（比如admin里用原始的Manager），否则很容易出问题。

三、关于Middleware的补充 #

你提到想用Middleware直接修改查询，其实Middleware主要负责请求/响应的生命周期处理，没法直接拦截ORM查询的执行。但它可以作为传递认证信息的桥梁，就像我们第一部分里那样，把用户存到threadlocal，让Manager能拿到过滤所需的凭据，这样就实现了认证逻辑和视图的解耦。

注意事项 #

• 权限边界要清晰：一定要给管理员、超级用户留好绕过过滤的入口，避免误拦截合法操作。
• Admin后台兼容：如果Admin需要看到所有数据，可以在Admin类里指定使用原始的Manager：

from django.contrib import admin
from .models import Document

@admin.register(Document)
class DocumentAdmin(admin.ModelAdmin):
    # 使用默认的未过滤Manager
    manager_in_from = models.Manager()

• 性能优化：给过滤字段（比如created_by）加数据库索引，避免全表扫描拖慢查询速度。

总结一下：子类化Model Manager是最稳妥、最灵活的方案，完全能满足你的需求，还不用大改现有代码——完美匹配你“懒得修改现有代码”的小私心 😄

内容的提问来源于stack exchange，提问作者SeedyROM