Динамическая авторизация на основе пользователей в Pyramid

Возможно, вы делаете это слишком сложным. Во-первых, показывать ссылку на представление edit_post только в том случае, если посетитель является автором сообщения. Это решит 99% проблемы, сделав это представление невидимым для людей, которые не должны его видеть. Для другого 1% — умные пользователи вручную редактируют URL-адрес для прямого доступа к представлению редактирования — добавьте что-то вроде этого:

def edit_post(request):
    ...
    if authenticated_userid(request) != author:
        raise pyramid.httpexceptions.HTTPForbidden("You are not this post's author.")

У вас уже есть «Дерево ресурсов», если вы создали ресурс Root в своем проекте. Вам просто нужно добавить к нему узел для posts, который будет возвращать объект Post с определенным __acl__, который содержит только авторизованный идентификатор пользователя. Затем вы можете использовать маршрут edit_posts для перехода по дереву ресурсов к объекту Post с __acl__ на нем.

Это несложно, и Pyramid сделает это за вас.

Если вы не хотите использовать аргумент permission, вы можете выполнить авторизацию внутри самого представления, как предложил Кирк.

Кроме того, если вам не нравится этот метод добавления __acl__ свойств и обхода для авторизации, вы можете реализовать свой собственный AuthorizationPolicy, чтобы делать то, что вы хотите, с заданным списком участников и разрешением.

Суть системы аутентификации Pyramid в том, что она есть, и это здорово. Пирамида ни в коем случае не требует от вас ее использования, а для представлений, которые ее не используют, работа с ней не влияет на производительность.