Django Rest Framework ViewSet方法的Permission_classes

Question

我正在使用Django REST框架编写rest
API，并且我想使用权限保护某些端点。权限类看起来像它们为完成此操作提供了一种优雅的方法。我的问题是我想对不同的重写ViewSet方法使用不同的权限类。

class UserViewSet(viewsets.ModelViewSet):
    queryset = User.objects.all()
    serializer_class = UserSerializer

    def create(self, request, *args, **kwargs):
        return super(UserViewSet, self).create(request, *args, **kwargs)

    @decorators.permission_classes(permissions.IsAdminUser)
    def list(self, request, *args, **kwargs):
        return super(UserViewSet, self).list(request, *args, **kwargs)

在上面的代码中，我也想允许未经身份验证的用户注册（用户创建），但是我不想让任何人列出用户，只为员工列出。

在文档中，我看到了使用permission_classes装饰器保护API视图（而非ViewSet方法）的示例，并且看到为整个ViewSet设置权限类。但它似乎不适用于覆盖的ViewSet方法。有什么方法只能将它们用于某些端点吗？

Answer 1

我认为没有内置的解决方案。但是您可以通过重写get_permissions方法来实现：

from rest_framework.permissions import AllowAny, IsAdminUser

class UserViewSet(viewsets.ModelViewSet):
    queryset = User.objects.all()
    serializer_class = UserSerializer

    permission_classes_by_action = {'create': [AllowAny],
                                    'list': [IsAdminUser]}

    def create(self, request, *args, **kwargs):
        return super(UserViewSet, self).create(request, *args, **kwargs)

    def list(self, request, *args, **kwargs):
        return super(UserViewSet, self).list(request, *args, **kwargs)

    def get_permissions(self):
        try:
            # return permission_classes depending on `action` 
            return [permission() for permission in self.permission_classes_by_action[self.action]]
        except KeyError: 
            # action is not set return default permission_classes
            return [permission() for permission in self.permission_classes]