django-rest-framework Rückkehr 403 Antwort auf POST, PUT, DELETE trotz AllowAny Berechtigungen

Django REST Framework zurückgegebene status-code 403 unter ein paar relevante Umstände:

• Wenn Sie nicht über die erforderliche Berechtigungsstufe (z.B. eine API-Anforderung, die als ein nicht authentifizierter Benutzer, als DEFAULT_PERMISSION_CLASSES ist ('rest_framework.permissions.IsAuthenticated',).
• Wenn Sie tun, eine unsichere Art der Anfrage (POST, PUT, PATCH oder LÖSCHEN einer Anforderung, sollte Nebenwirkungen haben), verwenden Sie rest_framework.authentication.SessionAuthentication und Sie haben nicht enthalten Ihr CSRFToken in der requeset.
• Wenn Sie gerade eine unsichere Art der Anfrage und die CSRFToken Sie aufgenommen haben ist nicht mehr gültig.

Werde ich ein paar demo-Anfragen gegen eine test-API zu geben, wird jeweils ein Beispiel, um Ihnen zu helfen bei der diagnose, welche Problem Sie haben und zeigen, wie es zu lösen. Ich werde mit der requests Bibliothek.

Die test-API

Ich eine sehr einfache DRF-API mit einem einzigen Modell Life, enthält ein einzelnes Feld (answermit einem Standard-Wert von 42). Alles, was von hier aus ist ziemlich geradlinig; ich habe ein ModelSerializer - LifeSerializer eine ModelViewSet - LifeViewSet, und ein DefaultRouter auf die /life URL-route. Ich habe konfiguriert DRF zu benötigen Benutzer authentifiziert werden, die API zu nutzen und zu verwenden SessionAuthentication.

Schlagen die API

import json
import requests

response = requests.get('http://localhost:8000/life/1/')
# prints (403, '{"detail":"Authentication credentials were not provided."}')
print response.status_code, response.content

my_session_id = 'mph3eugf0gh5hyzc8glvrt79r2sd6xu6'
cookies = {}
cookies['sessionid'] = my_session_id
response = requests.get('http://localhost:8000/life/1/',
                        cookies=cookies)
# prints (200, '{"id":1,"answer":42}')
print response.status_code, response.content

data = json.dumps({'answer': 24})
headers = {'content-type': 'application/json'}
response = requests.put('http://localhost:8000/life/1/',
                        data=data, headers=headers,
                        cookies=cookies)
# prints (403, '{"detail":"CSRF Failed: CSRF cookie not set."}')
print response.status_code, response.content

# Let's grab a valid csrftoken
html_response = requests.get('http://localhost:8000/life/1/',
                             headers={'accept': 'text/html'},
                             cookies=cookies)
cookies['csrftoken'] = html_response.cookies['csrftoken']
response = requests.put('http://localhost:8000/life/1/',
                        data=data, headers=headers,
                        cookies=cookies)
# prints (403, '{"detail":"CSRF Failed: CSRF token missing or incorrect."}')
print response.status_code, response.content

headers['X-CSRFToken'] = cookies['csrftoken']
response = requests.put('http://localhost:8000/life/1/',
                        data=data, headers=headers,
                        cookies=cookies)
# prints (200, '{"id":1,"answer":24}')
print response.status_code, response.content

Nur für alle, die vielleicht das gleiche problem.
Wenn Sie mit viewsets ohne Router wie:

user_list = UserViewSet.as_view({'get': 'list'})
user_detail = UserViewSet.as_view({'get': 'retrieve'})

Django Rest framework zurück 403, es sei denn, Sie definieren permission_classes auf einem Klasse Niveau:

class UserViewSet(viewsets.ModelViewSet):
    """
    A viewset for viewing and editing user instances.
    """
    permission_classes= YourPermisionClass

Hoffe, es hilft!