DRF配置JWT且IsAuthenticated权限下默认Web登录失效如何解决

问题现象 #

Django REST Framework（简称DRF）自带的Web端API交互界面，常规通过如下路由启用：

path('api-auth/', include('rest_framework.urls', namespace='rest_framework')),

当项目接入JWT认证，且全局权限配置为IsAuthenticated后，DRF自带的Web认证功能会失效，访问接口直接返回401未授权错误：

HTTP 401 Unauthorized
Allow: GET, POST, HEAD, OPTIONS
Content-Type: application/json
Vary: Accept
WWW-Authenticate: Bearer realm="api"

{
    "detail": "Authentication credentials were not provided."
}

即使用户通过DRF内置的/api-auth/login/入口完成登录，访问接口依然会抛出上述错误。

问题原因 #

DRF的认证逻辑会按照配置的认证类顺序逐一校验请求身份，如果配置中仅保留JWT认证，框架只会从请求头中读取Bearer格式的token做校验，完全不会识别Web界面登录后写入的Session会话Cookie，因此即便用户通过登录入口完成了Session认证，框架也会判定请求未携带有效凭证，直接返回401。

规范实现方案 #

你测试时追加认证类的思路是正确的，但不需要额外添加TokenAuthentication——注意：TokenAuthentication是DRF自带的静态Token认证组件，仅当你实际使用该认证模式时才需要配置，纯JWT+Web调试场景下添加只会增加无效校验逻辑，没有实际作用。

DRF原生支持多认证类并存的设计，只需要在认证类配置中追加SessionAuthentication即可同时适配JWT接口调用、Web界面调试两个场景，完全符合框架规范，属于官方推荐的开发阶段配置方式。
具体配置示例如下（以最常用的djangorestframework-simplejwt为例）：

REST_FRAMEWORK = {
    # 保持原有IsAuthenticated权限配置无需修改
    "DEFAULT_PERMISSION_CLASSES": [
        "rest_framework.permissions.IsAuthenticated",
    ],
    "DEFAULT_AUTHENTICATION_CLASSES": [
        # 第一优先级放JWT认证：供客户端/程序调用时携带Bearer token使用
        "rest_framework_simplejwt.authentication.JWTAuthentication",
        # 追加Session认证：供DRF自带Web界面登录后识别会话使用
        "rest_framework.authentication.SessionAuthentication",
    ]
}

配置后效果 #

• 外部程序调用接口：逻辑完全不变，依然在请求头携带Authorization: Bearer <access_token>即可通过JWT认证，正常访问接口
• 浏览器端访问DRF自带Web界面：访问/api-auth/login/完成登录后，框架会通过Session认证识别用户身份，不再弹出401错误，可正常使用界面自带的接口调试功能

两种认证模式互不干扰，不需要修改其他路由、权限或视图逻辑。

内容的提问来源于stack exchange，提问作者juanjuan