Django自带权限系统仅支持模型级控制，无法满足RBAC所需的对象级授权、角色动态绑定、继承及多租户隔离等需求；需借助django-guardian实现per-object权限，通过assign_perm绑定权限到具体对象，并在视图中显式校验user.has_perm('app.perm', obj)。
为什么 Django 自带的权限系统不够用？
Django 的 User 和 Group 模型配合 has_perm() 能处理简单场景，但 RBAC 要求角色可复用、权限可动态绑定、角色能继承、支持多租户隔离——这些原生机制不直接支持。比如你无法让一个 editor 角色在项目 A 拥有 blog.change_post，在项目 B 却只拥有 blog.view_post，除非手动维护两套 Group，极易出错。
如何用 django-guardian 实现对象级角色授权？
django-guardian 是最轻量且稳定的第三方方案，它补全了 Django 缺失的对象级权限（per-object permission），是构建 RBAC 的事实基础。安装后必须在 settings.py 中启用：
INSTALLED_APPS = [
# ...
'guardian',
]
AUTHENTICATION_BACKENDS = [
'django.contrib.auth.backends.ModelBackend',
'guardian.backends.ObjectPermissionBackend',
]
ANONYMOUS_USER_NAME = None # 避免匿名用户意外获得对象权限关键操作不是改模板或视图，而是定义角色与权限的映射关系：
- 角色用普通 Django
Group表示（如Group.objects.get_or_create(name='project_admin')） - 权限通过
assign_perm('blog.change_post', group, obj)绑定到具体对象（如某个Project实例） - 检查时用
user.has_perm('blog.change_post', project)，不是user.has_perm('blog.change_post')
注意：assign_perm 不会自动赋予模型级权限，必须显式调用 assign_perm('blog.change_post', group) 才能让该角色对所有 Post 实例生效。
立即学习“Python免费学习笔记（深入）”；
图片提示词生成器？不止如此。 马甲系统 —— 把脑海中的画面，翻译成AI能理解的专业表达。 用得越多，它越懂你：首次需要多问几句确认方向，用久了几乎一说就懂。 用得越多，它越快：缓存机制让后续对话越来越省。 RAG进化：成功案例持续入库，越跑越聪明。 输入「新手指南」查看完整功能介绍
怎么避免角色权限被绕过？
常见漏洞是视图里只校验 request.user.is_authenticated 或硬编码 if user.is_staff，完全跳过了权限检查链。正确做法是：
- 在 CBV 中用
PermissionRequiredMixin，并设置permission_required = 'blog.change_post'（模型级）或重写has_permission()做对象级判断 - 在函数视图中，始终用
get_object_or_404(Post, id=pk)获取实例后，再调用user.has_perm('blog.change_post', post) - 禁止在模板中用
{% if user.is_superuser %}控制 UI 元素——UI 权限必须和服务端权限一致，应使用{% if perms.blog.change_post %}或自定义模板过滤器封装对象级检查
特别容易忽略的是 API 接口：DRF 的 IsAuthenticated 和 IsAdminUser 默认不走 guardian，必须用 ObjectPermissions 类或自定义 has_object_permission() 方法。
何时该自己写 Role 模型而不是依赖 Group？
当你的系统需要角色具备元数据（如有效期、所属部门、是否启用）、角色间存在层级（如 team_lead 自动继承 member 权限）、或需跨租户隔离（不同客户各自管理角色集）时，Group 就成了瓶颈。此时应建独立 Role 模型：
class Role(models.Model):
name = models.CharField(max_length=100)
tenant = models.ForeignKey(Tenant, on_delete=models.CASCADE) # 多租户关键
permissions = models.ManyToManyField(Permission, blank=True)然后在中间表或信号中同步生成 Group 并分配权限，或者彻底弃用 Group，把权限检查逻辑移到自定义 backend 中。这条路调试成本高，但长期看更可控——尤其是当你发现 Group.name 开始出现 'proj_abc_editor_v2' 这种命名时，就是重构信号。
