django - Django Rest Framework 中权限/过滤器的最佳实践

Question

我是 DRF 的新手，无法理解仅允许访问用户拥有的信息的最佳方式。我有一个观点:

class InvoiceAPIView(generics.ListAPIView):
    serializer_class = InvoiceSerializer
    permission_classes = [permissions.IsAuthenticated]

    def get_queryset(self):
        return Invoice.objects.filter(company__user=self.request.user)

使用过滤器方法是否足够好，或者我应该添加自定义权限甚至去序列化。谢谢!

Answer 1

如果您需要仅使用当前用户拥有的对象来限制对象列表，那么覆盖查询集就可以了。

Permission classes用于检查基于 View 或对象级别的权限。如果您需要允许所有用户查看所有对象，但只有所有者可以编辑特定对象，则最好使用权限。