选择认证后端¶

当用户登录时，用户的 ID 和用于认证的后端将保存在用户的会话中。这允许相同的 认证后端 在将来的请求中获取用户的详细信息。要保存在会话中的认证后端选择如下

1. 如果提供了可选 backend 参数，请使用其值。
2. 如果存在，请使用 user.backend 属性的值。这允许配对 authenticate() 和 login()： authenticate() 在它返回的用户对象上设置 user.backend 属性。
3. 如果只有一个，请在 AUTHENTICATION_BACKENDS 中使用 backend。
4. 否则，引发异常。

在情况 1 和 2 中，backend 参数或 user.backend 属性的值应为带点的导入路径字符串（如 AUTHENTICATION_BACKENDS 中找到的那样），而不是实际的后端类。

原始方法¶

限制对页面的访问的原始方法是检查 request.user.is_authenticated，然后重定向到登录页面

from django.conf import settings
from django.shortcuts import redirect


def my_view(request):
    if not request.user.is_authenticated:
        return redirect(f"{settings.LOGIN_URL}?next={request.path}")
    # ...

…或显示错误消息

from django.shortcuts import render


def my_view(request):
    if not request.user.is_authenticated:
        return render(request, "myapp/login_error.html")
    # ...

login_required 装饰器¶

login_required(redirect_field_name='next', login_url=None)¶

作为快捷方式，您可以使用方便的 login_required() 装饰器

from django.contrib.auth.decorators import login_required


@login_required
def my_view(request): ...

login_required() 执行以下操作

• 如果用户未登录，则重定向到 settings.LOGIN_URL，并在查询字符串中传递当前绝对路径。示例： /accounts/login/?next=/polls/3/。
• 如果用户已登录，则正常执行视图。视图代码可以自由地假设用户已登录。

默认情况下，用户在成功身份验证后应被重定向到的路径存储在名为 "next" 的查询字符串参数中。如果您希望为此参数使用其他名称，则 login_required() 采用可选的 redirect_field_name 参数

from django.contrib.auth.decorators import login_required


@login_required(redirect_field_name="my_redirect_field")
def my_view(request): ...

请注意，如果您为 redirect_field_name 提供了一个值，则很可能还需要自定义您的登录模板，因为存储重定向路径的模板上下文变量将使用 redirect_field_name 的值作为其键，而不是 "next"（默认值）。

login_required() 还采用可选的 login_url 参数。示例

from django.contrib.auth.decorators import login_required


@login_required(login_url="/accounts/login/")
def my_view(request): ...

请注意，如果您未指定 login_url 参数，则需要确保 settings.LOGIN_URL 和您的登录视图已正确关联。例如，使用默认值，将以下行添加到您的 URLconf

from django.contrib.auth import views as auth_views

path("accounts/login/", auth_views.LoginView.as_view()),

settings.LOGIN_URL 还接受视图函数名称和 命名的 URL 模式。这允许您在 URLconf 中自由地重新映射您的登录视图，而无需更新设置。

LoginRequiredMixin 混合¶

使用 基于类的视图 时，可以通过使用 LoginRequiredMixin 来实现与 login_required 相同的行为。此混合应位于继承列表的最左侧。

class LoginRequiredMixin¶

如果视图使用此混合，则所有未经身份验证用户的请求都将根据 raise_exception 参数重定向到登录页面或显示 HTTP 403 禁止错误。

可以设置 AccessMixin 的任何参数以自定义对未经授权用户的处理

from django.contrib.auth.mixins import LoginRequiredMixin


class MyView(LoginRequiredMixin, View):
    login_url = "/login/"
    redirect_field_name = "redirect_to"

限制对通过测试的已登录用户的访问¶

要基于某些权限或其他测试限制访问，您需要执行与上一部分中描述的内容基本相同的操作。

可以在视图中直接对 request.user 运行测试。例如，此视图会检查以确保用户在所需的域中拥有电子邮件，如果没有，则重定向到登录页面

from django.shortcuts import redirect


def my_view(request):
    if not request.user.email.endswith("@example.com"):
        return redirect("/login/?next=%s" % request.path)
    # ...

user_passes_test(test_func, login_url=None, redirect_field_name='next')¶

作为快捷方式，可以使用便捷的 user_passes_test 装饰器，当可调用项返回 False 时，它会执行重定向

from django.contrib.auth.decorators import user_passes_test


def email_check(user):
    return user.email.endswith("@example.com")


@user_passes_test(email_check)
def my_view(request): ...

user_passes_test() 接受一个必需参数：一个可调用对象，该对象采用 User 对象，如果用户被允许查看页面，则返回 True。请注意，user_passes_test() 不会自动检查 User 是否为匿名用户。

user_passes_test() 接受两个可选参数

login_url

允许你指定未通过测试的用户将被重定向到的 URL。它可能是一个登录页面，如果你未指定，则默认为 settings.LOGIN_URL。

redirect_field_name

与 login_required() 相同。将其设置为 None 会从 URL 中将其移除，如果你将未通过测试的用户重定向到没有“下一页”的非登录页面，你可能需要这样做。

例如

@user_passes_test(email_check, login_url="/login/")
def my_view(request): ...

class UserPassesTestMixin¶

使用 基于类的视图 时，你可以使用 UserPassesTestMixin 来执行此操作。

test_func()¶

你必须覆盖类的 test_func() 方法来提供执行的测试。此外，你可以设置 AccessMixin 的任何参数以自定义对未经授权用户的处理

from django.contrib.auth.mixins import UserPassesTestMixin


class MyView(UserPassesTestMixin, View):
    def test_func(self):
        return self.request.user.email.endswith("@example.com")

get_test_func()¶

您还可以覆盖 get_test_func() 方法，让混合使用不同名称的函数进行检查（而不是 test_func()）。

堆叠 UserPassesTestMixin

由于 UserPassesTestMixin 的实现方式，您无法在继承列表中堆叠它们。以下内容不起作用

class TestMixin1(UserPassesTestMixin):
    def test_func(self):
        return self.request.user.email.endswith("@example.com")


class TestMixin2(UserPassesTestMixin):
    def test_func(self):
        return self.request.user.username.startswith("django")


class MyView(TestMixin1, TestMixin2, View): ...

如果 TestMixin1 调用 super() 并考虑该结果，则 TestMixin1 将不再独立工作。

permission_required 装饰器¶

permission_required(perm, login_url=None, raise_exception=False)¶

检查用户是否具有特定权限是一项相对常见的任务。因此，Django 为这种情况提供了一个快捷方式：permission_required() 装饰器。

from django.contrib.auth.decorators import permission_required


@permission_required("polls.add_choice")
def my_view(request): ...

就像 has_perm() 方法一样，权限名称采用以下形式 "<app label>.<permission codename>"（即 polls.add_choice 表示 polls 应用程序中模型上的权限）。

装饰器还可以采用权限的迭代，在这种情况下，用户必须拥有所有权限才能访问视图。

请注意，permission_required() 也采用可选的 login_url 参数

from django.contrib.auth.decorators import permission_required


@permission_required("polls.add_choice", login_url="/loginpage/")
def my_view(request): ...

与 login_required() 装饰器一样，login_url 的默认值为 settings.LOGIN_URL。

如果给出了 raise_exception 参数，装饰器将引发 PermissionDenied，提示 403 (HTTP Forbidden) 视图，而不是重定向到登录页面。

如果您想使用 raise_exception，但同时也要给用户先登录的机会，您可以添加 login_required() 装饰器

from django.contrib.auth.decorators import login_required, permission_required


@login_required
@permission_required("polls.add_choice", raise_exception=True)
def my_view(request): ...

当 LoginView 的 redirect_authenticated_user=True 并且已登录用户不具有所有必需的权限时，这也避免了重定向循环。

PermissionRequiredMixin 混合¶

若要将权限检查应用于 基于类的视图，可以使用 PermissionRequiredMixin

class PermissionRequiredMixin¶

此 mixin 就像 permission_required 装饰器，检查访问视图的用户是否拥有所有给定的权限。你应使用 permission_required 参数指定权限（或权限的迭代）。

from django.contrib.auth.mixins import PermissionRequiredMixin


class MyView(PermissionRequiredMixin, View):
    permission_required = "polls.add_choice"
    # Or multiple of permissions:
    permission_required = ["polls.view_choice", "polls.change_choice"]

你可以设置 AccessMixin 的任何参数以自定义对未授权用户的处理。

你还可以覆盖这些方法

get_permission_required()¶

返回 mixin 使用的权限名称的迭代。默认为 permission_required 属性，必要时转换为元组。

has_permission()¶

返回一个布尔值，表示当前用户是否有权执行装饰的视图。默认情况下，这会返回调用 has_perms() 的结果，其中权限列表由 get_permission_required() 返回。

更改密码时使会话失效¶

如果您的 AUTH_USER_MODEL 继承自 AbstractBaseUser 或实现了其自己的 get_session_auth_hash() 方法，则经过身份验证的会话将包括此函数返回的哈希值。在 AbstractBaseUser 的情况下，这是密码字段的 HMAC。Django 验证每个请求的会话中的哈希值是否与请求期间计算的哈希值匹配。这允许用户通过更改密码来注销其所有会话。

Django 附带的默认密码更改视图 PasswordChangeView 和 django.contrib.auth 管理中的 user_change_password 视图，会使用新密码哈希更新会话，以便更改自己密码的用户不会退出登录。如果您有自定义密码更改视图并希望有类似的行为，请使用 update_session_auth_hash() 函数。

update_session_auth_hash(request, user)¶

aupdate_session_auth_hash(request, user)¶

异步版本: aupdate_session_auth_hash()

此函数获取当前请求和更新后的用户对象（新会话哈希将由此派生），并适当地更新会话哈希。它还会轮换会话密钥，以便使窃取的会话 Cookie 失效。

示例用法

from django.contrib.auth import update_session_auth_hash


def password_change(request):
    if request.method == "POST":
        form = PasswordChangeForm(user=request.user, data=request.POST)
        if form.is_valid():
            form.save()
            update_session_auth_hash(request, form.user)
    else:
        ...

在 Django 5.0 中更改

添加了 aupdate_session_auth_hash() 函数。

使用视图¶

有不同的方法可以在您的项目中实现这些视图。最简单的方法是在您自己的 URLconf 中包含 django.contrib.auth.urls 中提供的 URLconf，例如

urlpatterns = [
    path("accounts/", include("django.contrib.auth.urls")),
]

这将包含以下 URL 模式

accounts/login/ [name='login']
accounts/logout/ [name='logout']
accounts/password_change/ [name='password_change']
accounts/password_change/done/ [name='password_change_done']
accounts/password_reset/ [name='password_reset']
accounts/password_reset/done/ [name='password_reset_done']
accounts/reset/<uidb64>/<token>/ [name='password_reset_confirm']
accounts/reset/done/ [name='password_reset_complete']

视图提供了一个 URL 名称，以便于引用。有关使用命名 URL 模式的详细信息，请参阅 URL 文档。

如果您希望对 URL 拥有更多控制权，则可以在 URLconf 中引用特定视图

from django.contrib.auth import views as auth_views

urlpatterns = [
    path("change-password/", auth_views.PasswordChangeView.as_view()),
]

视图具有可选参数，您可以使用这些参数来更改视图的行为。例如，如果您希望更改视图使用的模板名称，则可以提供 template_name 参数。一种方法是在 URLconf 中提供关键字参数，这些参数将传递给视图。例如

urlpatterns = [
    path(
        "change-password/",
        auth_views.PasswordChangeView.as_view(template_name="change-password.html"),
    ),
]

所有视图都是 基于类的，这允许您通过子类化轻松自定义它们。

所有身份验证视图¶

这是一个列表，其中包含 django.contrib.auth 提供的所有视图。有关实现详细信息，请参阅 使用视图。

class LoginView¶

URL 名称： login

有关使用命名 URL 模式的详细信息，请参阅 URL 文档。

方法和属性

template_name¶

用于显示视图的模板名称，该视图用于让用户登录。默认为 registration/login.html。

next_page¶

登录后要重定向到的 URL。默认为 LOGIN_REDIRECT_URL。

redirect_field_name¶

包含登录后重定向到的 URL 的 GET 字段的名称。默认为 next。如果传递给定的 GET 参数，则会覆盖 get_default_redirect_url() URL。

authentication_form¶

用于身份验证的可调用对象（通常是表单类）。默认为 AuthenticationForm。

extra_context¶

将添加到传递给模板的默认上下文数据中的上下文数据字典。

redirect_authenticated_user¶

控制访问登录页面的已验证用户是否会被重定向，就像他们刚刚成功登录一样的一个布尔值。默认为 False。

警告

如果您启用 redirect_authenticated_user，其他网站将能够通过请求您网站上的图像文件的重定向 URL 来确定其访问者是否在您的网站上经过身份验证。为了避免这种“社交媒体指纹识别”信息泄露，请将所有图像和 favicon 托管在单独的域上。

启用 redirect_authenticated_user 还会在使用 permission_required() 装饰器时导致重定向循环，除非使用 raise_exception 参数。

success_url_allowed_hosts¶

除了 request.get_host() 之外的主机的一个 set，在登录后重定向时是安全的。默认为一个空的 set。

get_default_redirect_url()¶

返回登录后要重定向到的 URL。默认实现解析并返回 next_page（如果已设置），否则返回 LOGIN_REDIRECT_URL。

以下是 LoginView 的作用

• 如果通过 GET 调用，它会显示一个登录表单，该表单会将 POST 请求发送到同一个 URL。稍后会详细介绍这一点。
• 如果通过 POST 调用并带有用户提交的凭据，它会尝试让用户登录。如果登录成功，该视图会重定向到 next 中指定的 URL。如果未提供 next，它会重定向到 settings.LOGIN_REDIRECT_URL（默认为 /accounts/profile/）。如果登录不成功，它会重新显示登录表单。

你有责任提供登录模板的 html，默认情况下称为 registration/login.html。此模板会传递四个模板上下文变量

• form：表示 AuthenticationForm 的 Form 对象。
• next：成功登录后要重定向到的 URL。它可能也包含一个查询字符串。
• 站点：当前 站点，根据 SITE_ID 设置。如果您未安装站点框架，这将设置为 RequestSite 的实例，该实例从当前 HttpRequest 派生站点名称和域名。
• 站点名称：site.name 的别名。如果您未安装站点框架，这将设置为 request.META['SERVER_NAME'] 的值。有关站点的更多信息，请参见 “站点”框架。

如果您不想调用模板 registration/login.html，您可以通过 as_view 方法中的额外参数传递 template_name 参数。例如，此 URLconf 行将使用 myapp/login.html

path("accounts/login/", auth_views.LoginView.as_view(template_name="myapp/login.html")),

您还可以使用 redirect_field_name 指定包含登录后重定向到的 URL 的 GET 字段的名称。默认情况下，该字段称为 next。

以下是一个示例 registration/login.html 模板，您可以将其用作起点。它假定您有一个定义 content 块的 base.html 模板

{% extends "base.html" %}

{% block content %}

{% if form.errors %}
<p>Your username and password didn't match. Please try again.</p>
{% endif %}

{% if next %}
    {% if user.is_authenticated %}
    <p>Your account doesn't have access to this page. To proceed,
    please login with an account that has access.</p>
    {% else %}
    <p>Please login to see this page.</p>
    {% endif %}
{% endif %}

<form method="post" action="{% url 'login' %}">
{% csrf_token %}
<table>
<tr>
    <td>{{ form.username.label_tag }}</td>
    <td>{{ form.username }}</td>
</tr>
<tr>
    <td>{{ form.password.label_tag }}</td>
    <td>{{ form.password }}</td>
</tr>
</table>

<input type="submit" value="login">
<input type="hidden" name="next" value="{{ next }}">
</form>

{# Assumes you set up the password_reset view in your URLconf #}
<p><a href="{% url 'password_reset' %}">Lost password?</a></p>

{% endblock %}

如果您已自定义身份验证（请参见 自定义身份验证），您可以通过设置 authentication_form 属性来使用自定义身份验证表单。此表单必须在其 __init__() 方法中接受 request 关键字参数，并提供一个 get_user() 方法，该方法返回经过身份验证的用户对象（此方法仅在表单验证成功后调用）。

类 LogoutView¶

在 POST 请求上注销用户。

URL 名称： logout

属性

next_page¶

注销后要重定向到的 URL。默认为 LOGOUT_REDIRECT_URL。

template_name¶

注销用户后要显示的模板的全名。默认为 registration/logged_out.html。

redirect_field_name¶

包含注销后要重定向到的 URL 的 GET 字段的名称。默认为 'next'。如果传递了给定的 GET 参数，则会覆盖 next_page URL。

extra_context¶

将添加到传递给模板的默认上下文数据中的上下文数据字典。

success_url_allowed_hosts¶

除了 request.get_host() 之外，还可以安全重定向到的一组主机，默认为一个空 set。

模板上下文

• title：已本地化的字符串“已注销”。
• 站点：当前 站点，根据 SITE_ID 设置。如果您未安装站点框架，这将设置为 RequestSite 的实例，该实例从当前 HttpRequest 派生站点名称和域名。
• 站点名称：site.name 的别名。如果您未安装站点框架，这将设置为 request.META['SERVER_NAME'] 的值。有关站点的更多信息，请参见 “站点”框架。

logout_then_login(request, login_url=None)¶

在 POST 请求中注销用户，然后重定向到登录页面。

URL 名称：未提供默认 URL

可选参数

• login_url：要重定向到的登录页面的 URL。如果未提供，则默认为 settings.LOGIN_URL。

class PasswordChangeView¶

URL 名称： password_change

允许用户更改其密码。

属性

template_name¶

用于显示密码更改表单的模板的完整名称。如果未提供，则默认为 registration/password_change_form.html。

success_url¶

密码更改成功后要重定向到的 URL。默认为 'password_change_done'。

form_class¶

一个自定义的“更改密码”表单，它必须接受一个 user 关键字参数。该表单负责实际更改用户的密码。默认为 PasswordChangeForm。

extra_context¶

将添加到传递给模板的默认上下文数据中的上下文数据字典。

模板上下文

• form：密码更改表单（请参见上面的 form_class）。

class PasswordChangeDoneView¶

URL 名称： password_change_done

用户更改密码后显示的页面。

属性

template_name¶

要使用的模板的全名。如果没有提供，则默认为 registration/password_change_done.html。

extra_context¶

将添加到传递给模板的默认上下文数据中的上下文数据字典。

class PasswordResetView¶

URL 名称： password_reset

允许用户通过生成一次性使用的链接来重置密码，该链接可用于重置密码，并将该链接发送到用户的注册电子邮件地址。

如果满足以下条件，此视图将发送电子邮件

• 系统中存在提供的电子邮件地址。
• 请求的用户处于活动状态（User.is_active 为 True）。
• 请求的用户具有可用的密码。使用不可用密码标记的用户（请参阅 set_unusable_password()）不允许请求重置密码，以防止在使用 LDAP 等外部身份验证源时被滥用。

如果不满足这些条件中的任何一个，则不会发送电子邮件，但用户也不会收到任何错误消息。这可以防止信息泄露给潜在的攻击者。如果您想在这种情况下提供错误消息，您可以对 PasswordResetForm 进行子类化并使用 form_class 属性。

注意

请注意，发送电子邮件需要额外的时间，因此由于现有电子邮件地址的重置请求持续时间和不存在的电子邮件地址的重置请求持续时间之间的差异，您可能会受到电子邮件地址枚举时序攻击的攻击。为了减少开销，您可以使用允许异步发送电子邮件的第三方包，例如 django-mailer。

属性

template_name¶

用于显示密码重置表单的模板的完整名称。如果未提供，则默认为 registration/password_reset_form.html。

form_class¶

用于获取用户电子邮件以重置密码的表单。默认为 PasswordResetForm。

email_template_name¶

用于生成包含重置密码链接的电子邮件的模板的完整名称。如果未提供，则默认为 registration/password_reset_email.html。

subject_template_name¶

用于生成包含重置密码链接的电子邮件主题的模板的完整名称。如果未提供，则默认为 registration/password_reset_subject.txt。

token_generator¶

用于检查一次性链接的类的实例。这将默认为 default_token_generator，它是 django.contrib.auth.tokens.PasswordResetTokenGenerator 的一个实例。

success_url¶

在成功重置密码请求后重定向到的 URL。默认为 'password_reset_done'。

from_email¶

一个有效的电子邮件地址。默认情况下，Django 使用 DEFAULT_FROM_EMAIL。

extra_context¶

将添加到传递给模板的默认上下文数据中的上下文数据字典。

html_email_template_name¶

用于生成包含密码重置链接的 text/html 多部分电子邮件的模板的完整名称。默认情况下，不会发送 HTML 电子邮件。

extra_email_context¶

上下文中将提供一个字典数据，该数据将在电子邮件模板中提供。它可用于覆盖下面列出的默认模板上下文值，例如 domain。

模板上下文

• form：用于重置用户密码的表单（见上面的 form_class）。

电子邮件模板上下文

• email：user.email 的别名
• user：根据 email 表单字段，当前的 User。只有活动用户才能重置其密码（User.is_active is True）。
• 站点名称：site.name 的别名。如果您未安装站点框架，这将设置为 request.META['SERVER_NAME'] 的值。有关站点的更多信息，请参见 “站点”框架。
• domain：site.domain 的别名。如果您没有安装站点框架，则将其设置为 request.get_host() 的值。
• protocol：http 或 https
• uid：以 base 64 编码的用户的主键。
• token：用于检查重置链接是否有效的令牌。

示例 registration/password_reset_email.html（电子邮件正文模板）

Someone asked for password reset for email {{ email }}. Follow the link below:
{{ protocol}}://{{ domain }}{% url 'password_reset_confirm' uidb64=uid token=token %}

主题模板使用相同的模板上下文。主题必须是单行纯文本字符串。

class PasswordResetDoneView¶

URL 名称： password_reset_done

在用户收到重置密码链接的电子邮件后显示的页面。如果PasswordResetView没有明确设置success_url URL，则默认调用此视图。

注意

如果系统中不存在提供的电子邮件地址，用户处于非活动状态或密码不可用，用户仍将被重定向到此视图，但不会发送电子邮件。

属性

template_name¶

要使用的模板的全名。如果未提供，则默认为registration/password_reset_done.html。

extra_context¶

将添加到传递给模板的默认上下文数据中的上下文数据字典。

class PasswordResetConfirmView¶

URL 名称：password_reset_confirm

显示一个用于输入新密码的表单。

URL 中的关键字参数

• uidb64：以 base 64 编码的用户 ID。
• token：用于检查密码是否有效的令牌。

属性

template_name¶

用于显示确认密码视图的模板的全名。默认值为registration/password_reset_confirm.html。

token_generator¶

用于检查密码的类的实例。这将默认为default_token_generator，它是django.contrib.auth.tokens.PasswordResetTokenGenerator的实例。

post_reset_login¶

一个布尔值，表示在成功重置密码后是否应自动对用户进行身份验证。默认为False。

post_reset_login_backend¶

如果 post_reset_login 为 True，则用于对用户进行身份验证时，对身份验证后端进行点状路径访问。仅在配置了多个 AUTHENTICATION_BACKENDS 时才需要。默认为 None。

form_class¶

将用于设置密码的表单。默认为 SetPasswordForm。

success_url¶

密码重置完成后重定向到的 URL。默认为 'password_reset_complete'。

extra_context¶

将添加到传递给模板的默认上下文数据中的上下文数据字典。

reset_url_token¶

显示为密码重置 URL 组件的令牌参数。默认为 'set-password'。

模板上下文

• form：用于设置新用户密码的表单（参见上文的 form_class）。
• validlink：布尔值，如果链接（uidb64 和 token 的组合）有效或尚未使用，则为 True。

class PasswordResetCompleteView¶

URL 名称： password_reset_complete

显示一个视图，告知用户密码已成功更改。

属性

template_name¶

用于显示视图的模板的全名。默认为 registration/password_reset_complete.html。

extra_context¶

将添加到传递给模板的默认上下文数据中的上下文数据字典。

用户¶

在呈现模板 RequestContext 时，当前登录的用户（User 实例或 AnonymousUser 实例）存储在模板变量 {{ user }}

{% if user.is_authenticated %}
    <p>Welcome, {{ user.username }}. Thanks for logging in.</p>
{% else %}
    <p>Welcome, new user. Please log in.</p>
{% endif %}

如果未使用 RequestContext，则此模板上下文变量不可用。

权限¶

当前登录用户的权限存储在模板变量 {{ perms }} 中。这是 django.contrib.auth.context_processors.PermWrapper 的一个实例，它是权限的一个模板友好代理。

将 {{ perms }} 的单属性查找评估为布尔值是 User.has_module_perms() 的代理。例如，要检查登录用户是否在 foo 应用中拥有任何权限

{% if perms.foo %}

将两级属性查找评估为布尔值是 User.has_perm() 的代理。例如，要检查登录用户是否拥有权限 foo.add_vote

{% if perms.foo.add_vote %}

以下是模板中检查权限的一个更完整的示例

{% if perms.foo %}
    <p>You have permission to do something in the foo app.</p>
    {% if perms.foo.add_vote %}
        <p>You can vote!</p>
    {% endif %}
    {% if perms.foo.add_driving %}
        <p>You can drive!</p>
    {% endif %}
{% else %}
    <p>You don't have permission to do anything in the foo app.</p>
{% endif %}

还可以通过 {% if in %} 语句查找权限。例如

{% if 'foo' in perms %}
    {% if 'foo.add_vote' in perms %}
        <p>In lookup works, too.</p>
    {% endif %}
{% endif %}