Как ограничить доступ только к своим экземплярам модели?

Question

[AlexandrBirukov]

Добрый день. Если пользователь залогинен на сайте, то меняя урл, он может просматривать и редактировать чужие записи. Как конкретному пользователю ограничить права на просмотр, изменение, удаление только своих экземпляров моделей?
Заранее спасибо за ответ.

Comments

[Артём Белоусов]

В админке-почти никак, вообще не рекомендуется туда всех юзеров пускать. Если просто форма, то делать проверку object.author == request.user

[AlexandrBirukov]

Артём Белоусов: нет, не в админке. Допустим есть личный кабинет пользователя доступный по урлу, если использовать login_required, то залогиненый пользователь может заходить в любой личный кабинет и смотреть всю инфу

[AlexandrBirukov]

Артём Белоусов: ок, я понял надо типа такого делать

def dispatch(self, request, *args, **kwargs):
        handler = super().dispatch(request, *args, **kwargs)
        user = request.user
        profile = self.get_object()
        if not (profile.user == user or user.is_superuser):
            raise PermissionDenied
        return handler

напишите в ответах, отмечу как решение, спасибо

[AlexandrBirukov]

Pavel Denisov: про админку нагуглил, спс

Answer 1

[Артём Белоусов]

Надо выполнить проверку
if request.user == object.author