DRF权限校验中bool(request.user)返回False的场景有哪些

这行判断是典型的防御性短路求值写法，核心作用是避免request.user为假值时直接访问其属性抛出异常，属于异常分支的容错设计，不是给常规业务流程准备的逻辑。

你在常规GET请求场景下测到bool(request.user)始终返回True是完全正常的：只要请求完整走了Django默认的AuthenticationMiddleware、DRF默认认证组件的流程，哪怕是匿名用户发起的请求，框架也会自动给request.user赋值为AnonymousUser类的实例。Python中普通类实例只要没有自定义__bool__或__len__方法，布尔值永远为True，所以常规流程下这层判断永远不会走到返回False的分支。

bool(request.user)返回False的常见场景 #

这层校验兜的都是非标准流程的异常情况，实际触发场景主要有三类：

• 自定义认证逻辑不符合规范：自行实现的DRF认证类、第三方接入的认证插件存在逻辑bug，在认证失败、异常分支没有按框架规范返回AnonymousUser实例，直接把request.user赋值为None、空值这类假值。
• 单元测试构造请求不完整：用RequestFactory手动构造请求编写单元测试时，忘记给request对象绑定user属性，或是直接将user赋值为None，没有模拟框架默认的user赋值逻辑。
• 组件执行顺序异常：项目自定义的中间件、接口逻辑跳过了认证组件的执行流程，在request.user还没被认证模块初始化赋值的时候就提前进入了权限判断逻辑，此时request.user为默认假值。

补充说明：这种a and a.b的写法在Python中会自动触发短路逻辑，如果a是假值，后面的a.b属性访问根本不会执行，直接返回假值，外层套bool()就直接得到权限校验不通过的结果，比单独写属性存在判断、用try/except捕获异常简洁很多，是Python生态里非常常见的容错写法。

内容的提问来源于stack exchange，提问作者hungry7