Le contrôle d'accès par objet vérifie qu'un utilisateur a le droit d'agir sur une instance précise, et pas seulement sur un type de modèle. Par exemple, un utilisateur ne doit modifier que ses propres articles. On l'applique en filtrant les requêtes sur le propriétaire ou en répondant 403/404 si l'objet ne lui appartient pas, ce qui évite les failles d'accès direct par identifiant.
Exemple
post = get_object_or_404(Post, pk=pk, author=request.user)