Django 中的对象所有权

我想知道如何使用 django 模型完成一个简单的“对象所有权”系统，这样默认情况下，只有对象的所有者可以编辑它。

我试图允许“管理”组代表对象所有者编辑所有对象，并且此时添加了自定义权限：

class Meta:
    permissions     = (
        ("manage_object", "Can manage objects"),
    )

为了建立“所有权”，我考虑过向模型添加 def 的想法：

def owner(self):
    return self.user

但接下来，我该如何走得更远呢？我可以在视图中实现权限并使用模板显示相关 UI，即：

if request.user is object.owner:
    # ... do stuff
elseif request.user.has_perm.can_manage:  # this line is probably not right
    # ... do something else

...然后在模板级别呈现不同的 UI 元素。

所以，问题是：

• 这种方法有什么缺点/优点？
• 有推荐吗？
• 或者，任何其他以前实现的方法？

最好的感谢！

我的方法是向模型添加一个方法：

class YourModelWithOwnership(models.model):
    ...

    def user_can_manage_me(self, user):
        return user == self.user or user.has_perm('your_app.manage_object')

然后，每当需要权限检查时我都会调用该方法，并根据结果采取一些操作。所以对于一个视图来说

from django.shortcuts import get_object_or_404
...

def view_func(request, item_id):
    item = get_object_or_404(YourModelWithOwnership, id=item_id) # or whatever is needed to get the object
    if not item.user_can_manage_me(request.user):
        # user not allowed to manage
        ...
    else:
        ...

后来我可能意识到，在每个需要测试的视图中仍然需要编写一些样板代码，因此我会实现一个当用户无法管理对象时抛出的异常......

class CannotManage(Exception):
    pass

...并向模型添加另一个方法：

from django.db import models
from django.shortcuts import get_object_or_404

class YourModelWithOwnership(models.model):
    ...

    @classmethod
    def get_manageable_object_or_404(cls, user, *args, **kwds):
        item = get_object_or_404(cls, *args, **kwds)
        if not item.user_can_manage_me(user):
            raise CannotManage
        return item

然后，在视图函数中，可以使用：

def view_func(request, item_id):
    item = YourModelWithOwnership.get_manageable_object_or_404(request.user, id=item_id)
    ...

当用户不是所有者并且没有适当的权限时，这当然会引发异常。该异常可以在process_exception()的方法自定义中间件 http://docs.djangoproject.com/en/dev/topics/http/middleware/类，这样对于所有不允许用户弄乱该对象的实例都有一个处理程序。