> Или обратить внимание на пока еще плохо освещенный в документации «supports_object_permissions» в своем «authentication backend»?
Да, обратить. В ваших условиях это, наверное, будет лучший вариант.
guardian не очень хорошо Вам (хотя и можно). Лучше уж
github.com/maraujop/django-rules или
bitbucket.org/jezdez/django-authority
django-authority не поддерживается, так что придется его освежить, или покопаться в форках.