django - 如何防止 Django 管理员用户更改其他管理员用户的个人资料数据？

Question

我有教师类扩展/子类的管理员用户。

如何防止教师看到和更改其他教师的个人资料数据，而教师只能更改自己的记录/行？提前致谢!

Answer 1

我不确定我是否完全理解您要做什么，但是如果您的想法是让内置用户管理页面对教师用户的工作方式略有不同，那么我相信您只需要扩展 UserAdmin 并覆盖queryset 方法。

class TeacherSpecificUserAdmin(UserAdmin):
  def queryset(self, request):
    if request.user.is_teacher():
      return Teacher.objects.filter(pk=request.user.pk)
    return UserAdmin.queryset(self, request)

这将照顾到不允许教师编辑或删除其他记录，因为如果您查看 ModelAdmin 代码，change_view 和 delete_view 方法使用从 queryset 方法返回的查询集来获取要更改或删除的对象。

需要再进行一次调整，因为用于更改 UserAdmin 中密码的 View 与其他 View 使用不同的系统来更改对象。只需在您的新类(class)中覆盖它:

...
def user_change_password(self, request, id):
  if request.user.is_teacher() and request.user.pk != int(id):
    # PermissionDenied is in django.core.exceptions
    raise PermissionDenied
  return UserAdmin.user_change_password(self, request, id)
...

之后，您只需要阻止教师添加新用户或删除他们自己的记录即可。要么使用默认的 django's permission framework ，要么覆盖 has_add_permission 和 has_delete_permission 方法。

如果您需要更多信息(在 ModelAdmin 中)，请查看 contrib/admin/options.py 源代码。