DRF中同时使用Simple JWT与Basic/Session认证的配置合理性咨询

注释视图的@authentication_classes装饰器是合理的 #

DRF的视图认证规则很明确：如果视图显式用@authentication_classes指定了认证类，会完全覆盖全局配置，只能用装饰器里的认证方式；如果不指定，视图就会继承settings.py中REST_FRAMEWORK.DEFAULT_AUTHENTICATION_CLASSES的全局配置。你注释掉装饰器后，视图会同时使用全局配置里的JWT、Session、Basic三种认证，正好满足“外部脚本用token、浏览器用界面登录”的需求，这个做法完全没问题。

整体配置正确性判断（结合标准配置参考） #

如果你的配置符合以下要点，就是正确的：

1. settings.py中的认证类配置
   确保REST_FRAMEWORK里的默认认证类包含以下几项（顺序建议按使用优先级排列）：

   REST_FRAMEWORK = {
       'DEFAULT_AUTHENTICATION_CLASSES': [
           # 外部脚本优先用JWT认证
           'rest_framework_simplejwt.authentication.JWTAuthentication',
           # 浏览器登录后用Session认证维护会话
           'rest_framework.authentication.SessionAuthentication',
           # DRF登录界面依赖BasicAuthentication验证账号密码
           'rest_framework.authentication.BasicAuthentication',
       ],
       # 建议搭配权限类，确保只有认证用户能访问API
       'DEFAULT_PERMISSION_CLASSES': [
           'rest_framework.permissions.IsAuthenticated',
       ]
   }
   

   同时Simple JWT的基础路由要配置到位，在urls.py中添加：

   from rest_framework_simplejwt.views import (
       TokenObtainPairView,
       TokenRefreshView,
   )
   
   urlpatterns = [
       # 外部脚本获取/刷新JWT token的接口
       path('api/token/', TokenObtainPairView.as_view(), name='token_obtain_pair'),
       path('api/token/refresh/', TokenRefreshView.as_view(), name='token_refresh'),
       # DRF自带的浏览器登录界面路由
       path('api-auth/', include('rest_framework.urls')),
       # 你的业务API路由
       ...
   ]
   

2. 视图无需额外指定认证类
   不要在视图上添加@authentication_classes装饰器，让视图自动继承全局配置，这样DRF会对每个请求依次尝试所有认证方式：

   • 外部脚本请求时，携带JWT token（放在Authorization头里，格式为Bearer <token>），JWT认证会优先生效；
   • 浏览器访问时，先通过api-auth/login界面登录，Session认证会自动维护会话，后续请求携带会话cookie即可正常访问。

额外注意事项 #

• DRF的登录界面默认依靠BasicAuthentication验证账号密码，验证通过后才会创建Session，所以必须把BasicAuthentication保留在全局配置中；
• 如果某些视图需要单独指定认证方式（比如某个接口只允许JWT访问），再给该视图单独加@authentication_classes([JWTAuthentication])装饰器即可，不会影响其他视图的全局配置。

内容的提问来源于stack exchange，提问作者pacdev