如何在Django APIRequestFactory调用中跳过身份认证校验？

完全可以实现目标，不需要依赖24小时更新的远端Bearer Token，核心思路是在测试场景下直接跳过DRF内置的认证校验流程，具体实现方式如下：

核心实现逻辑 #

DRF处理请求的认证流程有固定判断规则：当请求上下文已经绑定了合法的认证用户对象时，会直接跳过后续的认证类校验（包括Bearer Token解析、远端服务校验等逻辑），我们只需要在构造测试请求时手动补全这个上下文，就可以完全绕过原有认证流程。

可直接复用的代码改写 #

基于你现有代码改造，去掉对真实Bearer Token的依赖：

from django.test import TestCase
from django.contrib.auth import get_user_model
from .views.SomeViewSet
from rest_framework.test import APIRequestFactory


class ViewSetsTest(TestCase):
    @classmethod
    def setUpTestData(cls):
        # 测试全局准备合法用户，测试运行时自动创建、结束后自动回滚，无额外维护成本
        cls.test_user = get_user_model().objects.create_user(
            username="test_verify_user",
            password="test_pwd_123"
        )

    def test_db_instance_viewset(self):
        # 构造请求时删除原有的HTTP_AUTHORIZATION参数，不需要携带任何认证头
        api_request = APIRequestFactory.patch("")
        # 手动为请求绑定已认证的用户，直接触发跳过认证逻辑
        api_request.user = self.test_user
        api_request.auth = None

        detail_view = SomeViewSet.as_view({'patch': 'update'})
        response = detail_view(api_request)
        self.assertEqual(response.status_code, 200)

特殊场景适配 #

如果你的ViewSet配置了强校验的认证类，手动绑定用户仍然触发认证流程，可以在调用as_view时临时替换认证类，从根源上禁用原有认证逻辑：

• 第一步：编写空逻辑的测试认证类，完全不做真实校验

from rest_framework.authentication import BaseAuthentication

class SkipTestAuth(BaseAuthentication):
    def authenticate(self, request):
        # 直接返回测试用户，不做任何Token校验
        return (get_user_model().objects.get(username="test_verify_user"), None)

• 第二步：在调用视图时覆盖原有认证配置

detail_view = SomeViewSet.as_view(
    {'patch': 'update'},
    authentication_classes=[SkipTestAuth]
)

注意事项 #

• 上述跳过认证的写法仅适用于单元测试场景，禁止直接复用到生产路由配置中
• 如果ViewSet配置了IsAuthenticated这类权限校验，只要手动绑定的用户是激活状态的合法用户，权限校验会自动通过，不会额外拦截请求
• 整个流程不会触达远端的Token校验服务，完全不需要维护定期更新的真实Bearer Token

内容的提问来源于stack exchange，提问作者Jayjay Jay