为何Django REST Framework内置权限类需先校验request.user？

核心原因主要有3个： #

• 向后兼容与自定义认证场景适配
  DRF允许开发者完全替换默认的认证逻辑，并非所有自定义认证类都会遵循「认证失败返回AnonymousUser」的约定。如果某个自定义认证类在认证失败时直接将request.user赋值为None，没有前置判断直接访问request.user.is_authenticated/request.user.is_staff就会抛出属性错误，导致服务异常，而不是正常返回权限拒绝结果。
• 防御性编程的通用要求
  框架级代码需要覆盖尽可能多的异常边界，除了自定义认证的场景，还存在很多非标准上下文：比如手动构造单元测试的Request对象时遗漏了user属性、前置中间件执行异常导致request.user未被正确赋值等。前置非空判断可以避免这类场景下的服务崩溃，即便出现异常也会返回符合预期的权限校验失败结果，鲁棒性更强。
• 低开销的合理冗余
  在默认Django+DRF的标准配置下，你观察到的结论完全正确：request.user永远不会为None，加不加前置判断的执行结果完全一致。但这个判断本身没有任何额外性能开销，却能覆盖所有边缘场景，属于框架开发层面的合理设计，并不算冗余代码。

内容的提问来源于stack exchange，提问作者Andy Anderson