django-rest-framework - 如何在 APIView 中使用对象级权限？

Question

我有一个权限类来检查 obj.account 是否等于 request.user.profile.account:

class IsOwner(permissions.BasePermission):
    def has_object_permission(self, request, view, obj):
        return request.user.profile.account == obj.account

这是我的观点:

class ContactDetailView(APIView):
    permission_classes = (IsOwner, )

    def get(self, request, pk, format=None):
        contact = get_object_or_404(Contact, pk=pk)
        serializer = ContactSerializer(contact)

        return Response(
            serializer.data,
        )

但我没有收到权限错误。它返回联系人数据没有问题。

我的错误在哪里？

Answer 1

你需要在响应前调用check_object_permissions方法:

class ContactDetailView(APIView):
    permission_classes = (IsOwner, )

    def get(self, request, pk, format=None):
        contact = get_object_or_404(Contact, pk=pk)
        serializer = ContactSerializer(contact)
        self.check_object_permissions(request, contact)

        return Response(
            serializer.data,
        )

请注意，通用 View 类已默认调用它。但是由于您没有使用 RetrieveAPIView 您需要手动进行。