如何在Django REST中用同一APIView兼容登录与匿名用户？

这个需求完全可行，核心是正确配置视图的认证类和权限类，以下是具体实现方案：

关键配置说明 #

你之前的问题出在默认权限类的限制——当不指定permission_classes时，Django REST Framework会使用全局默认的IsAuthenticated（强制登录认证），导致匿名用户无法访问。正确的配置逻辑是：

• 保留认证类（比如令牌认证），让系统能识别携带有效令牌的登录用户
• 设置权限类为AllowAny，允许所有用户（包括匿名）访问视图

代码示例 #

from rest_framework.views import APIView
from rest_framework.authentication import TokenAuthentication
from rest_framework.permissions import AllowAny
from rest_framework.response import Response

class MixedAccessAPIView(APIView):
    # 指定支持令牌认证，有有效令牌时会自动识别request.user
    authentication_classes = [TokenAuthentication]
    # 允许所有用户访问，包括匿名用户
    permission_classes = [AllowAny]

    def get(self, request):
        # 根据用户是否认证返回不同内容
        if request.user.is_authenticated:
            return Response({"status": "success", "user": request.user.username})
        else:
            return Response({"status": "success", "user": "匿名用户"})

逻辑解释 #

1. 认证类作用：当请求携带有效Authorization: Token <token值>头时，TokenAuthentication会自动验证令牌，并将对应的用户赋值给request.user；如果没有令牌或令牌无效，认证过程会跳过，request.user会被设为AnonymousUser。
2. 权限类作用：AllowAny会绕过登录验证，确保匿名用户也能正常访问视图，不会被拦截。

如果你的项目还使用了其他认证方式（比如SessionAuthentication），可以把它们加入authentication_classes列表，系统会依次尝试认证，只要有一个认证成功就会设置request.user。

内容的提问来源于stack exchange，提问作者nisha