Django REST Framework 权限配置与自定义实现详解
发布时间：2026-10-13| 6人浏览过
本文详解Django REST Framework中的权限管理机制，涵盖全局DEFAULT_PERMISSION_CLASSES配置、视图级权限指定及对象级访问控制。通过展示AllowAny、IsAuthenticated等内置权限类，并演示如何继承BasePermission实现自定义MyPermission逻辑，帮助开发者灵活限制API访问与数据对象操作。
Django REST Framework 权限机制概述
在Django REST Framework中，权限全局配置是控制API访问的第一道防线。
全局权限配置方法
REST_FRAMEWORK = {
'DEFAULT_PERMISSION_CLASSES': (
'rest_framework.permissions.IsAuthenticated',
)
}权限机制主要承担两方面的限制：一是限制用户对特定视图接口的访问权限，二是限制用户对具体数据对象的访问权限。
当请求进入视图时，在调用dispatch()方法执行具体逻辑之前，框架会首先进行视图级别的访问权限判断。
此外，当通过get_object()方法获取具体的数据对象时，框架会进一步进行对象级别的访问权限判断，确保用户有权查看或操作该特定数据。
如果开发者未显式指定权限配置，系统将采用默认的配置策略。
'DEFAULT_PERMISSION_CLASSES': (
'rest_framework.permissions.AllowAny',
)自定义权限类的实现
除了使用内置权限，开发者还可以根据业务需求自定义权限类。
from rest_framework.permissions import BasePermission
class MyPermission(BasePermission):
def has_object_permission(self, request, view, obj):
"""
控制对obj对象的访问权限,吃案例决绝对所有用户的访问
不能访问单一结果,但是可以访问列表结果
has_object_permission是否可以访问数据对象， view表示当前视图， obj为数据对象
.has_permission(self, request, view)是否可以访问视图， view表示当前视图对象
"""
return False以下示例展示了如何结合之前定义的视图类来应用权限验证逻辑。
视图级权限应用示例
from rest_framework.permissions import IsAuthenticated
class BookInfoViewSet(mixins.ListModelMixin,mixins.RetrieveModelMixin,GenericViewSet):
"""使用GenericViewSet实现返回列表和单一值"""
# 指定序列化器
serializer_class = BookInfoSerializer
# 制定查询集
queryset = BookInfo.objects.all()
# authentication_classes = [SessionAuthentication]
# 登陆者的权限.是Admin还是普通用户 是admin可以访问还是普通用户可以访问
permission_classes = [IsAuthenticated,MyPermission]Django REST Framework提供了多种内置权限供选择，具体包括：
内置权限类详解
AllowAny 允许所有用户
IsAuthenticated 仅通过认证的用户
IsAdminUser 仅管理员用户
IsAuthenticatedOrReadOnly 认证的用户可以完全操作，否则只能get读取以上关于Django权限Permissions的配置与示例介绍完毕，希望能为读者提供有价值的参考。
免责声明：本文内容仅供参考，不代表本站观点。转载或引用请注明出处。
