Django函数视图多装饰器顺序问题：如何先应用api_view再执行permission_classes？

首先明确：你遇到的问题核心是DRF的permission_classes装饰器内部逻辑会干扰api_view的请求方法设置，以及对装饰器执行顺序的误解。

为什么第一种顺序不生效 #

当你把@permission_classes放在@api_view上方时，permission_classes装饰器内部会用api_view([])重新包装视图函数——这会直接覆盖你之前设置的@api_view(["POST"])的请求方法限制，导致允许所有请求方法，同时权限检查也因为视图被二次包装而失效，所以你会看到无论POST还是GET都能访问，且权限校验不生效。

官方推荐的正确顺序（符合你的需求） #

DRF官方文档明确推荐的函数视图权限设置顺序是@api_view在前，@permission_classes在后：

from rest_framework.decorators import api_view, permission_classes
from rest_framework.permissions import IsAuthenticated
from rest_framework.response import Response

@api_view(["POST"])
@permission_classes([IsAuthenticated])
def logout(request):
    # 你的注销逻辑
    request.user.auth_token.delete()
    return Response({"message": "注销成功"})

你担心的“permission_classes先于api_view执行”是误解：实际请求处理时，api_view会先校验请求方法——如果是GET这类不允许的方法，会直接返回405状态码，根本不会触发后续的权限检查；只有请求方法符合要求（POST）时，才会进入权限校验环节，完全符合你“先应用api_view，再应用permission_classes”的需求。

旧版本DRF的兼容方案 #

如果你的DRF版本较旧，确实出现了权限检查先执行的异常情况，可以用以下两种方式解决：

方法一：手动在视图内检查权限 #

from rest_framework.decorators import api_view
from rest_framework.permissions import IsAuthenticated
from rest_framework.response import Response
from rest_framework import status

@api_view(["POST"])
def logout(request):
    # 手动执行权限检查
    permission = IsAuthenticated()
    if not permission.has_permission(request, None):
        return Response(status=status.HTTP_403_FORBIDDEN)
    
    # 注销逻辑
    request.user.auth_token.delete()
    return Response({"message": "注销成功"}, status=status.HTTP_200_OK)

方法二：改用类视图（更稳定） #

类视图的处理流程更清晰，完全不存在装饰器顺序问题：

from rest_framework.views import APIView
from rest_framework.permissions import IsAuthenticated
from rest_framework.response import Response
from rest_framework import status

class LogoutView(APIView):
    permission_classes = [IsAuthenticated]
    http_method_names = ["post"]  # 仅允许POST请求

    def post(self, request):
        request.user.auth_token.delete()
        return Response({"message": "注销成功"}, status=status.HTTP_200_OK)

内容的提问来源于stack exchange，提问作者famdude