配置permissions.AllowAny后，VerifyEmail APIView仍要求认证，如何解决？

核心原因 #

你的项目大概率全局配置了默认认证类（比如JWT认证），即便给视图方法加了AllowAny权限，全局认证逻辑仍会优先校验请求的认证信息，无有效认证时返回认证失败。此外，局部装饰器的使用方式也可能存在优先级问题。

修复方案 #

方案1：在视图类中显式跳过认证 #

直接在类中声明空的认证类列表，同时指定权限类，比方法装饰器更清晰且优先级更高：

from rest_framework.permissions import AllowAny
from rest_framework.views import APIView

class VerifyEmail(APIView):
    serializer_class = EmailVerificationSerializer
    # 显式设置允许所有用户访问，且跳过认证校验
    permission_classes = [AllowAny]
    authentication_classes = []
    
    token_param_config = openapi.Parameter(
        'token',
        in_=openapi.IN_QUERY,
        description='Email verification token',
        type=openapi.TYPE_STRING
    )
    
    @swagger_auto_schema(manual_parameters=[token_param_config])
    def get(self, request):
        token = request.GET.get('token')
        try:
            payload = get_payload(request)
            user = User.objects.get(id=payload['user_id'])
            if not user.is_verified:
                user.is_verified = True
                user.save()
            return Response({'email': 'Successfully activated'}, status=status.HTTP_200_OK)
        except jwt.ExpiredSignatureError:
            return Response({'error': 'Activation Expired'}, status=status.HTTP_400_BAD_REQUEST)
        except jwt.exceptions.DecodeError:
            return Response({'error': 'Invalid token'}, status=status.HTTP_400_BAD_REQUEST)

方案2：调整方法装饰器顺序（若坚持用方法装饰） #

如果一定要用方法装饰器，需确保认证装饰器在前，权限装饰器在后，保证跳过认证的逻辑先执行：

from rest_framework.decorators import permission_classes, authentication_classes
from rest_framework.permissions import AllowAny

class VerifyEmail(APIView):
    serializer_class = EmailVerificationSerializer
    token_param_config = openapi.Parameter(
        'token',
        in_=openapi.IN_QUERY,
        description='Email verification token',
        type=openapi.TYPE_STRING
    )
    
    @authentication_classes([])
    @permission_classes([AllowAny])
    @swagger_auto_schema(manual_parameters=[token_param_config])
    def get(self, request):
        # 原有逻辑不变
        pass

额外检查点 #

1. 确认get_payload函数是从request.GET.get('token')解析令牌，而非从请求头的Authorization字段获取——毕竟该接口是通过URL参数传递验证令牌的。
2. 查看项目settings.py中的REST_FRAMEWORK配置，若存在DEFAULT_AUTHENTICATION_CLASSES，则必须通过上述方式在视图中覆盖认证类配置。

内容的提问来源于stack exchange，提问作者Echchama Nayak