使用rest_framework.permissions实现API访问限制

在使用Django开发API时，通常会使用rest_framework.permissions类来实现对API的访问限制。permissions类提供了多种内置的权限类，例如：IsAuthenticated（需要用户进行身份认证）、IsAdminUser（需要用户是管理员用户）、AllowAny（允许任何用户访问）等。

下面是一个使用rest_framework.permissions实现API访问限制的例子：

1. 安装和配置Django和Django REST framework：

首先，需要安装Django和Django REST framework。可以通过以下命令安装它们：

pip install django
pip install djangorestframework

接下来，在Django项目的settings.py文件中添加以下配置：

INSTALLED_APPS = [
    ...
    'rest_framework',
    ...
]

REST_FRAMEWORK = {
    'DEFAULT_PERMISSION_CLASSES': [
        'rest_framework.permissions.IsAuthenticated',
    ],
    'DEFAULT_AUTHENTICATION_CLASSES': [
        'rest_framework.authentication.SessionAuthentication',
        'rest_framework.authentication.BasicAuthentication',
    ],
}

上述配置中，DEFAULT_PERMISSION_CLASSES用于指定默认的权限类，这里使用了IsAuthenticated类，表示只有经过身份认证的用户才能访问API。DEFAULT_AUTHENTICATION_CLASSES用于指定默认的认证类，这里使用了内置的SessionAuthentication和BasicAuthentication类。

2. 创建API视图：

接下来，我们创建一个简单的API视图，用于演示权限类的使用。在Django项目的views.py文件中添加以下代码：

from rest_framework.views import APIView
from rest_framework.response import Response
from rest_framework.permissions import IsAuthenticated

class MyAPIView(APIView):
    permission_classes = [IsAuthenticated]

    def get(self, request):
        data = {'message': 'Hello, world!'}
        return Response(data)

上述代码中，我们创建了一个继承自APIView的自定义视图类MyAPIView。在类中定义了permission_classes属性，用于指定该视图类的权限类。这里使用了IsAuthenticated类，表示只有经过身份认证的用户才能访问这个API。

视图类中的get方法用于处理HTTP GET请求，返回一个包含简单消息的JSON响应。

3. 配置API URL：

最后，我们需要在Django项目的urls.py文件中配置API的URL。在文件中添加以下代码：

from django.urls import path
from .views import MyAPIView

urlpatterns = [
    ...
    path('my_api/', MyAPIView.as_view()),
    ...
]

在上述代码中，我们定义了一个URL路径my_api/，它将使用MyAPIView视图处理。

4. 运行和测试：

现在，可以运行Django项目，并使用API测试工具或命令行工具进行测试。在没有登录的情况下访问http://localhost:8000/my_api/，应该会返回一个HTTP 403 Forbidden的响应，表示没有权限访问。登录后再次访问，应该返回一个包含消息的JSON响应。

以上就是一个简单的使用rest_framework.permissions实现API访问限制的例子。通过配置DEFAULT_PERMISSION_CLASSES和在视图类中指定permission_classes，我们可以轻松地实现对API的访问限制。