我也有一阵子没写 Django 了，不过还能扯两句。

你的思路问题不大，因为动表的 api 真的很少。实例的 save 、delete，和 manager 的 delete 、bulk_create 、bulk_update 。
https://docs.djangoproject.com/en/3.2/ref/models/querysets/

前两个很好操作，你可以直接在 model 上修改，三年前我写过一篇相关的内容，不过当时是记录操作日志，不是权限控制 https://segmentfault.com/a/1190000015022691 当初也是年轻哈哈写的什么玩意

manager 方法大部分会调用 model 的 save，但是批量操作的都不会，也就是 delete\bulk_create\bulk_update 。如果你想让别人用的爽一点，这里就得多做点工作。

判断权限需要得到当前登录的用户，这一点其实挺烦的，Django 没有 flask 的 g，orm 层也没有请求上下文，你通过什么办法在 orm 层面得到请求上下文？这也是你需要解决的问题

related： https://stackoverflow.com/questions/3227180/why-is-using-thread-locals-in-django-bad