Django REST Framework如何为特定用户配置指定API访问权限

• 纯用Django Groups无法覆盖「单独撤销特定用户单API访问权」的后续需求，但Groups可以作为角色层的基础组件使用，不需要完全抛弃
• DRF原生的权限类机制完全可以满足你当前和后续的权限管控需求，不需要引入额外重型框架
• 最适合你场景的方案是「Django Groups做基础角色映射 + 轻量自定义DRF权限类 + 简单的权限撤销表」，实现成本极低，扩展性足够

Django原生的Groups设计初衷是给批量用户归类、批量分配权限用的，你现在的三类角色（customer/manager/employee）刚好可以对应三个Group，每个Group绑定对应可访问的API权限，这部分基础的角色-API访问规则用Groups完全可以实现。
但Groups的权限判断逻辑是「只要用户在有权限的组里，就默认拥有对应权限」，没有内置的例外机制，没法直接实现「某用户属于经理组本来能访问API1/API2，但单独撤销他API2的访问权」这类需求，硬绕的话会让权限逻辑变得混乱难维护。

你之前了解的DRF权限类机制就是为这类场景设计的，不需要找第三方适配组件。DRF默认自带的DjangoModelPermissions是对接模型级增删改查权限的，你的场景是API级访问控制，只需要写一个几十行代码的自定义权限类就能跑通全流程。

具体实现步骤 #

1. 搭建基础角色权限层
   先创建三个Group分别对应customer、manager、employee三类角色，给每个API定义一个独立的权限codename，比如can_access_api1、can_access_api2、can_access_api3，再把对应codename分配给不同角色组：
   • customer组绑定can_access_api1
   • manager组绑定can_access_api1、can_access_api2
   • employee组绑定can_access_api3
2. 实现单用户撤权能力
   建一张非常简单的关联表存撤权记录，两个核心字段就够：关联用户、被撤销的权限codename，加个联合唯一索引避免重复数据。
3. 编写自定义DRF权限类
   权限判断按优先级从高到低走：先查用户有没有被单独撤掉当前API的权限，再查用户是否通过所属Group拥有当前API的访问权，示例代码如下：

   from rest_framework.permissions import BasePermission
   # 先配置每个视图对应的权限标识
   API_PERMISSION_MAP = {
       "API1View": "can_access_api1",
       "API2View": "can_access_api2",
       "API3View": "can_access_api3"
   }
   
   # 撤权表参考结构，放在models.py里迁移即可
   # class UserAPIRevoke(models.Model):
   #     user = models.ForeignKey("auth.User", on_delete=models.CASCADE)
   #     perm_codename = models.CharField(max_length=64)
   #     class Meta:
   #         unique_together = ("user", "perm_codename")
   
   class APIAccessPermission(BasePermission):
       def has_permission(self, request, view):
           required_perm = API_PERMISSION_MAP.get(view.__class__.__name__)
           if not required_perm:
               return False
           # 优先判断是否被单独撤权
           if UserAPIRevoke.objects.filter(
               user=request.user,
               perm_codename=required_perm
           ).exists():
               return False
           # 再判断用户（含所属组）是否拥有对应权限
           return request.user.has_perm(f"你的应用名.{required_perm}")
   

4. 给你的三个API视图挂载权限类
   给每个APIView加上permission_classes = [APIAccessPermission]即可，不需要修改原有视图的业务逻辑。

方案优势 #

• 基础权限逻辑完全复用Django原生的Groups、权限体系，稳定无额外依赖
• 撤权逻辑极轻，没有冗余功能，后续如果要加「给单个用户单独开某API权限」的需求，只要再加一张白名单表、在权限类里加个判断就行，扩展成本极低
• 不需要一开始就引入django-guardian这类对象级权限框架，这类框架针对的是单条数据级别的权限控制，用在API访问控制场景属于过度设计，会增加不必要的维护成本

内容的提问来源于stack exchange，提问作者user2348945