Django REST Framework多Slug路由与权限验证问题排查

让我们一步步拆解你的问题，修复代码中的错误并实现你需要的权限逻辑：

1. 先解决get_object()缺失必需的位置参数'team_slug'错误 #

你定义的get_object方法需要company_slug和team_slug两个参数，但在get方法里只传了team_slug，这是直接的参数不匹配问题。同时你的get_object内部还有几处语法和逻辑错误：

• 查找Company和Team时，错误地使用了未定义的变量slug，应该用传入的company_slug和team_slug
• raise Http404缺少括号，属于语法错误
• 没有验证找到的Team是否属于对应的Company，存在跨公司访问的风险
• 用户无关联company的逻辑处理可以更简洁清晰

2. 修正后的完整视图代码 #

from rest_framework.views import APIView
from rest_framework.response import Response
from rest_framework.authentication import SessionAuthentication, BasicAuthentication
from rest_framework.exceptions import NotFound
from django.shortcuts import get_object_or_404
from .models import Company, Team
from .serializers import TeamDetailSerializer

class TeamDetail(APIView):
    authentication_classes = [SessionAuthentication, BasicAuthentication]
    serializer_class = TeamDetailSerializer

    def get_object(self, company_slug, team_slug):
        # 匿名用户直接返回404
        if self.request.user.is_anonymous:
            raise NotFound()
        
        # 获取当前用户关联的公司，无关联则返回404
        user_company = getattr(self.request.user, 'company', None)
        if not user_company:
            raise NotFound()
        
        # 确保请求的公司和用户关联的公司一致
        company = get_object_or_404(Company, company_slug=company_slug)
        if company != user_company:
            raise NotFound()
        
        # 确保团队属于该公司，同时匹配team_slug
        team = get_object_or_404(Team, team_slug=team_slug, company=company)
        
        # 验证用户是否属于该团队
        if getattr(self.request.user, 'team', None) != team:
            raise NotFound()
        
        return team

    def get(self, request, company_slug, team_slug, format=None):
        # 正确传递两个参数给get_object
        team = self.get_object(company_slug, team_slug)
        serializer = TeamDetailSerializer(team)
        return Response(serializer.data)

3. 关于405 Method Not Allowed错误的说明 #

之前出现405的原因大概率是：

• 最初的URL配置使用了两个同名的<slug>参数，导致DRF无法正确解析参数并传递给视图
• 后来修正URL后，视图的get方法调用get_object时参数缺失，导致内部报错，最终返回了错误的状态码

你当前的URL配置path('<company_slug>/teams/<team_slug>', views.TeamDetail.as_view(), name="TeamDetail")是正确的，配合修正后的视图代码，405问题应该会解决。

4. 额外优化建议 #

• 可以考虑使用DRF的Permission类封装权限逻辑，让视图代码更简洁
• 用get_object_or_404简化数据库查询的异常处理，避免手动捕获DoesNotExist异常
• 确保User模型和Company、Team的关联字段配置正确（比如user.company是外键，user.team是外键）

内容的提问来源于stack exchange，提问作者Manko