“顶级”/ {用户}资源的金字塔授权

Question

类似于：Dynamic user based authorization in Pyramid

使用网址调度，我想为permission是他/她的个人资料页面的用户动态分配resource，例如 / aclark4life ：

• 匿名访问者可以访问任何用户个人资料以查看他/她的活动。
• 经过身份验证的用户可以访问个人资料页面上的其他内容。

我可以轻松地为所有经​​过身份验证的用户分配“管理”permission，但如何确保经过身份验证的用户只能在其个人资料中查看私人内容？

E.g。最终结果应该只是 aclark4life 可以查看“连接到PyPI”：

但匿名观众不能：