Django 4.x升级后TokenAuthentication下匿名与认证用户兼容问题求助

问题根源 #

TokenAuthentication的默认逻辑是：当请求中无有效Token时，会抛出AuthenticationFailed异常直接返回401响应，而非让请求以匿名用户身份继续执行。这和之前使用的JSONWebTokenAuthentication逻辑不同——后者在Token无效或缺失时，会将request.user设为匿名用户，不会直接拦截请求。

解决方案 #

自定义一个兼容匿名请求的Token认证类，继承TokenAuthentication并重写authenticate方法，在认证失败时返回None而非抛出异常：

from rest_framework.authentication import TokenAuthentication
from rest_framework.exceptions import AuthenticationFailed

class AnonymousTokenAuthentication(TokenAuthentication):
    def authenticate(self, request):
        try:
            # 复用父类的正常认证逻辑
            return super().authenticate(request)
        except AuthenticationFailed:
            # 认证失败时返回None，让请求以匿名用户身份继续处理
            return None

接着在你的APIView类中使用这个自定义认证类，同时保持权限类为空（或设置允许匿名的权限）：

from rest_framework.views import APIView
from rest_framework.response import Response

class SomeClass(APIView):
    authentication_classes = (AnonymousTokenAuthentication, )
    permission_classes = ()

    def get(self, request):
        if request.user.is_authenticated:
            # 处理已认证用户的业务逻辑
            return Response({"status": "success", "data": "authenticated content"})
        else:
            # 处理匿名用户的业务逻辑
            return Response({"status": "success", "data": "anonymous content"})

逻辑说明 #

• 当请求携带有效Token时，自定义认证类会正常返回用户和Token对象，request.user会被设置为认证用户。
• 当请求无Token或Token无效时，认证类返回None，DRF会自动将request.user设为AnonymousUser，且不会拦截请求，从而实现“同时支持认证用户识别和匿名请求放行”的需求。

内容的提问来源于stack exchange，提问作者mr.louis