Django Rest Framework+SimpleJWT未受保护路由返回401问题求助

问题出在JWTAuthentication的默认行为——当请求携带无效/过期的token时，它会主动抛出AuthenticationFailed异常，DRF会直接返回401响应，根本轮不到权限类（AllowAny）发挥作用。哪怕你全局配置了AllowAny，只要认证阶段抛出异常，就会直接中断请求返回401。

方案一：自定义JWT认证类（推荐） #

写一个自定义JWT认证类，重写authenticate方法，捕获token无效的异常并返回None，让DRF将请求当作未认证用户处理，继续走权限校验流程（AllowAny会允许访问）。

代码示例：

# 在你的app下新建auth.py或utils.py
from rest_framework_simplejwt.authentication import JWTAuthentication
from rest_framework_simplejwt.exceptions import InvalidToken, TokenError

class IgnoreInvalidJWTAuthentication(JWTAuthentication):
    def authenticate(self, request):
        try:
            # 调用原JWT认证逻辑
            return super().authenticate(request)
        except (InvalidToken, TokenError):
            # 捕获token无效/过期异常，返回None表示认证失败但不中断请求
            return None

然后在settings.py中替换原JWT认证类：

REST_FRAMEWORK = {
    ...
    "DEFAULT_AUTHENTICATION_CLASSES": (
        "rest_framework.authentication.BasicAuthentication",
        "your_app_name.auth.IgnoreInvalidJWTAuthentication",  # 替换成你的自定义类路径
    ),
}

方案二：给无需认证的视图单独配置认证类 #

如果只是部分视图需要忽略无效token，可以在这些视图中直接指定空的认证类，跳过认证步骤：

from rest_framework.permissions import AllowAny

class PromoApiSet(ViewSet):
    serializer_class = PromoSerializer
    authentication_classes = []  # 不使用任何认证类，直接跳过认证
    permission_classes = [AllowAny]  # 显式指定权限类，避免全局配置变化影响

    # 原有的get_queryset、list方法保持不变...

DRF的执行流程是先认证，后权限：认证阶段若抛出异常，会直接返回401，不会进入权限校验环节。因此AllowAny只能处理「未携带token」的请求，无法处理「携带无效token」的场景——这就是你遇到问题的核心原因。

内容的提问来源于stack exchange，提问作者BillPull