Django REST API权限异常：已认证管理员无法执行POST操作

导致管理员认证后无法执行POST操作的核心原因主要有以下两种：

1. 管理员的认证未实际生效 #

虽然你认为已完成管理员身份认证，但请求并未携带有效的认证凭证，导致DRF无法识别当前用户为已认证状态：

• 若使用Session认证：请求缺失DRF所需的session cookie（比如跨域请求未携带cookie，或浏览器未保存登录状态）。
• 若使用Token认证：请求头中未携带有效的Token，或Token已过期/无效。
• 若使用Basic认证：用户名或密码输入错误，导致认证失败。

这种情况下，request.user会被识别为匿名用户，IsAuthenticatedOrReadOnly权限类会拒绝非安全方法（POST）的请求，返回权限不足的提示。

2. 权限类叠加验证（全局与视图权限冲突） #

部分场景下，DRF的全局权限类与视图指定的权限类会叠加生效：
你的全局配置中设置了DEFAULT_PERMISSION_CLASSES: ['rest_framework.permissions.IsAuthenticated']，而视图使用@permission_classes([IsAuthenticatedOrReadOnly])。若项目存在自定义权限中间件或DRF版本存在特殊逻辑，两个权限类会同时验证，可能导致已认证用户的POST请求仍被拦截。

不过从你描述的"未认证用户可读取数据"来看，视图的权限类已经覆盖了全局权限，这种可能性较低。

排查建议 #

• 检查请求的认证凭证：在视图中打印request.user和request.user.is_authenticated，确认用户是否真的处于已认证状态。
• 验证DRF的认证配置：确保DEFAULT_AUTHENTICATION_CLASSES包含你当前使用的认证方式（比如SessionAuthentication、TokenAuthentication）。
• 检查Serializer的自定义逻辑：确认DrinkSerializer的create方法中没有额外的权限限制逻辑。

内容的提问来源于stack exchange，提问作者rira