Django类视图是否支持login required？DRF认证相关问题咨询

一、Django普通类视图支持login_required吗？ #

当然支持，有两种常用实现方式：

• 装饰器方式：用@method_decorator把Django的login_required装饰器适配到类视图上，可以装饰整个类或者单个方法：

  from django.contrib.auth.decorators import login_required
  from django.utils.decorators import method_decorator
  from django.views.generic import TemplateView
  
  # 装饰整个类
  @method_decorator(login_required, name='dispatch')
  class ProtectedView(TemplateView):
      template_name = 'protected.html'
  
  # 仅装饰get方法
  class PartialProtectedView(TemplateView):
      template_name = 'protected.html'
  
      @method_decorator(login_required)
      def get(self, request, *args, **kwargs):
          return super().get(request, *args, **kwargs)
  

• Mixin继承方式：使用LoginRequiredMixin，这是更贴合类视图风格的写法：

  from django.contrib.auth.mixins import LoginRequiredMixin
  from django.views.generic import TemplateView
  
  class ProtectedView(LoginRequiredMixin, TemplateView):
      template_name = 'protected.html'
      # 可选：自定义未登录时的跳转地址，默认使用settings.LOGIN_URL
      login_url = '/accounts/login/'
  

二、为什么DRF类视图不能用login_required？ #

DRF的类视图是为API设计的，核心是返回JSON这类结构化响应，而Django的login_required是给传统模板视图用的，未登录时会直接重定向到登录页面——这不符合API的交互逻辑（API应该返回401 Unauthorized状态码和对应的提示信息）。所以DRF有一套自己的认证+权限机制，不能直接套用Django的login_required。

三、DRF中配置认证后端的方法 #

1. 全局默认配置 #

在项目的settings.py里修改REST_FRAMEWORK配置块，指定全局生效的认证后端：

REST_FRAMEWORK = {
    'DEFAULT_AUTHENTICATION_CLASSES': [
        # 会话认证：适合前后端不分离、依赖Django会话的场景
        'rest_framework.authentication.SessionAuthentication',
        # Token认证：常用的无状态API认证方式
        'rest_framework.authentication.TokenAuthentication',
        # JWT认证（需先安装djangorestframework-simplejwt库）
        'rest_framework_simplejwt.authentication.JWTAuthentication',
    ]
}

2. 视图级别单独配置 #

如果只想给某个类视图单独设置认证规则，直接在视图类中定义authentication_classes属性即可：

from rest_framework.views import APIView
from rest_framework.authentication import TokenAuthentication
from rest_framework.permissions import IsAuthenticated
from rest_framework.response import Response

class ProtectedAPIView(APIView):
    # 仅对当前视图生效的认证后端
    authentication_classes = [TokenAuthentication]
    # 配合权限类，确保只有已认证用户能访问
    permission_classes = [IsAuthenticated]

    def get(self, request):
        return Response({'message': '只有登录用户能看到这条内容'})

3. 自定义认证后端 #

如果自带的认证后端满足不了需求，可以自己实现：
首先编写自定义认证类，继承BaseAuthentication并实现authenticate和authenticate_header方法：

from rest_framework.authentication import BaseAuthentication
from rest_framework.exceptions import AuthenticationFailed
from django.contrib.auth.models import User

class CustomTokenAuth(BaseAuthentication):
    def authenticate(self, request):
        # 从请求头获取自定义的认证标识
        custom_token = request.headers.get('X-Custom-Token')
        if not custom_token:
            return None  # 无认证信息时，交给其他后端处理
        
        # 这里写你的token验证逻辑，比如查询数据库匹配用户
        try:
            user = User.objects.get(username=custom_token)
        except User.DoesNotExist:
            raise AuthenticationFailed('无效的认证Token')
        
        return (user, None)  # 返回(user, auth_info)元组，auth_info可以为None

    def authenticate_header(self, request):
        return 'X-Custom-Token'  # 用于401响应的WWW-Authenticate头

之后把自定义类加入全局或视图的authentication_classes列表即可：

# 全局配置示例
REST_FRAMEWORK = {
    'DEFAULT_AUTHENTICATION_CLASSES': [
        'your_app_name.authentication.CustomTokenAuth',
        'rest_framework.authentication.SessionAuthentication',
    ]
}

内容的提问来源于stack exchange，提问作者ARSHEDROSHAN M A