### Django REST Framework 认证与权限 使用指南 Django REST Framework (DRF) 提供了一套强大的机制用于处理认证和权限管理，这使得开发者可以方便地保护他们的API资源[^2]。以下是关于认证与权限的最佳实践及相关细节。 #### 1. 配置全局认证方案 在 `settings.py` 文件中可以通过设置 `DEFAULT_AUTHENTICATION_CLASSES` 来定义全局的认证策略。例如： ```python REST_FRAMEWORK = { 'DEFAULT_AUTHENTICATION_CLASSES': ( 'rest_framework.authentication.SessionAuthentication', 'rest_framework.authentication.TokenAuthentication', ), } ``` 上述代码片段设置了两种主要的认证方式：基于会话的认证 (`SessionAuthentication`) 和基于令牌的认证 (`TokenAuthentication`) [^4]。 #### 2. 局部覆盖认证逻辑 如果某些视图需要不同的认证方式，则可以在视图类或函数中通过属性指定局部认证方案。例如： ```python from rest_framework.authentication import TokenAuthentication from rest_framework.permissions import IsAuthenticated from rest_framework.views import APIView from rest_framework.response import Response class ExampleView(APIView): authentication_classes = [TokenAuthentication] permission_classes = [IsAuthenticated] def get(self, request, format=None): content = {'status': 'request was permitted'} return Response(content) ``` 此示例展示了如何仅针对特定视图启用基于令牌的身份验证并要求用户已通过身份验证才能访问[^5]。 #### 3. 常见认证类及其用途 - **Basic Authentication**: 主要适用于测试环境。 - **Session Authentication**: 对于浏览器客户端非常有用，通常配合 CSRF 一起使用。 - **Token Authentication**: 更适合移动设备或者第三方应用集成场景。 - **JWT Authentication**: JSON Web Tokens 提供无状态的安全传输手段，在分布式系统中有广泛应用价值[^4]。 #### 4. 设置默认权限控制 同样地，在 `settings.py` 中也可以配置全局默认权限规则： ```python REST_FRAMEWORK = { 'DEFAULT_PERMISSION_CLASSES': [ 'rest_framework.permissions.IsAuthenticatedOrReadOnly', # 只读模式下未授权用户也能查看数据 ], } ``` 这里选择了只读权限作为默认行为，意味着未经验证的用户仍然可以看到公开的信息但无法修改任何东西[^2]。 #### 5. 自定义权限类 当标准权限不足以满足需求时，还可以自定义自己的权限类。比如下面这个例子实现了只有对象拥有者才可以编辑的功能： ```python from rest_framework import permissions class IsOwnerOrReadOnly(permissions.BasePermission): """ Custom permission to only allow owners of an object to edit it. """ def has_object_permission(self, request, view, obj): if request.method in permissions.SAFE_METHODS: return True return obj.owner == request.user ``` 之后只需将其添加到相应视图的 `permission_classes` 列表即可生效[^4]。 --- ### 总结 以上介绍了 DRF 的认证与权限体系的基础知识以及一些常见的最佳实践。合理利用这些特性可以帮助我们构建更加健壮、安全的应用程序接口服务[^2]。