如果使用'AllowAny'權限類，如何防止Django Rest Framework驗證令牌？

Question

讓我告訴你我的代碼第一：

在settings.py

.... 
DEFAULT_AUTHENTICATION_CLASSES': (
    'rest_framework.authentication.TokenAuthentication', 
), 
'DEFAULT_PERMISSION_CLASSES': (
    'rest_framework.permissions.IsAuthenticated', 
) 
.... 

我my_view.py：

@api_view(['POST']) 
@permission_classes((AllowAny,)) 
def say_hello(request): 
    return Response("hello") 

正如你所看到的，我使用的令牌認證通過保護我的其他的API默認，但當我添加令牌標頭在say_hello，Django Rest Framework也將檢查令牌是否有效，即使當我添加AllowAny權限類。

我的問題是如何使Django Rest Framework忽略檢查令牌如果令牌頭存在於say_hello？ 是否有任何安全方面的考慮？

謝謝。

Answer 1

你似乎在混淆身份驗證和授權。

通過在您的視圖上使用@permission_classes修飾符，您已覆蓋設置的默認授權。但是您仍然擁有來自設置的默認身份驗證類。

嘗試也添加到您的另外一個裝飾，繞過TokenAuthentication：

@authentication_classes([]) 

請注意，如果你把這個在POST終點，你的應用程序現在受制於像跨站請求僞造骯髒的東西。

Answer 2

我認爲this question的答案也適用於此處。

如果您不想檢查一個視圖的標記，則可以將@authentication_classes([])添加到視圖中。這應該保留其他視圖的默認設置，同時對其進行不同的處理。