Django Rest Framework中CreateAPIView通过request.user赋值用户字段最佳实践

你当前实现要求前端传虚拟user_id的根本原因是序列化器默认将user字段标记为必填可写字段，DRF的请求参数校验逻辑会在调用perform_create之前执行，哪怕你后续会手动赋值，校验阶段也会因为缺少必填字段直接返回错误。

1. 调整序列化器配置，将user字段设为只读 #

仅需在序列化器中声明user为只读字段即可，DRF就不会再对该字段做必填校验，两种实现方式效果一致：

class AssetSerializer(serializers.ModelSerializer):
    # 方式1：单独声明字段属性
    user = serializers.PrimaryKeyRelatedField(read_only=True)
    class Meta:
        model = Asset
        fields = '__all__'

# 方式2：用read_only_fields批量声明，更简洁
# class AssetSerializer(serializers.ModelSerializer):
#     class Meta:
#         model = Asset
#         fields = '__all__'
#         read_only_fields = ['user']

2. 完善视图配置，增加权限校验 #

你补充的视图代码已经符合规范，仅需增加登录权限校验，避免未登录用户请求时request.user为匿名用户导致赋值报错：

from rest_framework import permissions

class CreateAssetView(generics.CreateAPIView):
    serializer_class = AssetSerializer
    queryset = Asset.objects.all()
    # 新增权限校验，确保仅登录用户可调用接口
    permission_classes = [permissions.IsAuthenticated]

    def perform_create(self, serializer):
        serializer.save(user=self.request.user)

如果业务场景不需要返回user相关信息给前端，可以直接显式指定序列化器要暴露的字段，完全去掉user字段的序列化逻辑，安全性更高：

class AssetSerializer(serializers.ModelSerializer):
    class Meta:
        model = Asset
        fields = ['id', 'name', 'amount']

配置完成后直接发送{"name": "myasset", "amount": "50"}的POST请求即可正常创建数据，不需要携带任何和user相关的参数。

内容的提问来源于stack exchange，提问作者Law