时间戳

首页 > 解决方案 > Django DRF：@permission_classes 不起作用

python - Django DRF：@permission_classes 不起作用

问题描述

我有一个自定义操作的视图，该操作应该具有自定义权限“IsRightUser”。但是，has_object_permission它永远不会被调用，即使我尝试self.get_object()在我的视图中访问该对象。

class MyView(mixins.ListModelMixin, viewsets.GenericViewSet):
    serializer_class = MySerializer
    lookup_field = 'uuid'
    queryset = MyObject.objects.all()

    @action(methods=['get'], detail=True)
    @permission_classes([IsRightUser])
    def groups(self, request, uuid=None):
        # prints [<class 'rest_framework.permissions.IsAuthenticated'>]
        print(self.permission_classes)  
        my_object = self.get_object()
        groups = Group.objects.filter(my_object=my_object)
        serializer = MySerializer(groups, many=True)
        return Response(serializer.data)

在这里您可以看到我从未调用过的自定义权限。

class IsRightUser(BasePermission):
    def has_object_permission(self, request, view, obj):
        # never called
        return True

当我permission_classes = [IsRightUser]在我的视图中使用（即直接在lookup_field 下方）时，它可以工作（不幸的是，这对我来说不可行）。

很感谢任何形式的帮助。

标签： pythondjangodjango-rest-framework

解决方案

您应该直接将权限类作为action参数传递：

@action(methods=['get'], detail=True, permission_classes=[IsRightUser])
def groups(self, request, uuid=None):
    # prints [<class 'rest_framework.permissions.IsAuthenticated'>]
    print(self.permission_classes)  
    my_object = self.get_object()
    groups = Group.objects.filter(my_object=my_object)
    serializer = MySerializer(groups, many=True)
    return Response(serializer.data)

推荐阅读