如何让drf-spectacular正确标记视图集中需认证的端点？

问题背景 #

基于cookiecutter-django搭建全新Django项目，在UserViewSet中新增destroy方法，自定义权限逻辑经单元测试验证完全正常：

• 匿名用户访问destroy接口返回401
• 已认证用户仅能停用自身账号，操作他人账号返回403
• 拥有staff权限的已认证用户可停用任意账号

但drf-spectacular生成的Swagger文档无法正确区分需认证与无需认证的端点：例如无需认证的POST /users/（用户注册接口）被错误标记为需认证。尝试通过重写get_permissions()方法让drf-spectacular自动识别权限，无效果。

排查过程 #

1. Update 1：新增IsAuthenticated和IsSelfOrStaff权限类，更新UserViewSet的权限配置后，单元测试依然通过，但Swagger的权限图标显示仍不符合预期。
2. Update 2：纠正对Swagger图标的误解——解锁图标代表需要认证的端点，实际问题是无需认证的端点被错误标记；最终通过给对应视图方法添加@extend_schema(auth=[])解决显示问题，但疑惑drf-spectacular为何无法自动识别权限差异。

解决方法 #

针对无需认证的端点（如用户注册接口），在对应的视图方法上显式添加@extend_schema(auth=[])装饰器，强制指定该端点无需认证：

from drf_spectacular.utils import extend_schema
from rest_framework import viewsets

class UserViewSet(viewsets.ModelViewSet):
    # 其他配置...

    @extend_schema(auth=[])
    def create(self, request, *args, **kwargs):
        return super().create(request, *args, **kwargs)

自动识别失效的原因 #

drf-spectacular默认通过视图的permission_classes静态属性推断权限要求，以下场景会导致自动识别失效：

• 权限逻辑通过重写get_permissions()方法动态返回不同权限类（而非直接设置permission_classes），这种动态逻辑无法被drf-spectacular静态分析识别；
• 自定义权限类未正确实现BasePermission的标准接口，或未添加drf-spectacular所需的权限元信息，导致工具无法正确解析权限规则。

若依赖动态权限逻辑，显式使用@extend_schema指定权限是最可靠的解决方案。

内容的提问来源于stack exchange，提问作者Jason Godesky