Django Auth权限干扰Rest Framework：登录POST请求403错误排查求助

这种登录状态下POST请求返回403、退出登录后请求正常的情况，大概率是CSRF验证冲突或者自定义权限逻辑的反向错误，下面分场景拆解：

1. 最常见原因：CSRF令牌未正确传递（Session+Token混合场景） #

登录状态下浏览器会自动携带Session Cookie，如果你用的后端框架（比如Django、Flask-WTF）默认开启了CSRF保护，即使你配置了Token认证，框架可能依然会对POST请求强制做CSRF校验——而退出登录后Session Cookie消失，CSRF校验自动跳过，所以请求能正常执行。

解决方法： #

• 如果你的API完全基于Token认证、不需要Session支持，可以直接在API视图上单独禁用CSRF保护：
  以Django为例，在视图类中添加装饰器：

  from django.views.decorators.csrf import csrf_exempt
  from django.utils.decorators import method_decorator
  
  @method_decorator(csrf_exempt, name='dispatch')
  class YourAPIView(APIView):
      permission_classes = [YourCustomTokenPermission]
      # ... 其他业务逻辑
  

• 如果需要保留CSRF校验，前端要在登录状态下主动传递CSRF令牌：从Cookie中获取csrftoken值，放在请求头X-CSRFToken里发送。

2. 自定义权限类逻辑写反 #

检查你的自定义Token权限类，是不是不小心把认证规则写反了——比如原本要允许携带有效Token的已认证用户访问，结果逻辑写成了只允许匿名用户（退出登录状态）通过？

排查&修复： #

看一下权限类的has_permission方法，比如错误示例：

class YourCustomTokenPermission(BasePermission):
    def has_permission(self, request, view):
        # 错误：仅允许匿名用户通过
        return not request.user.is_authenticated

正确的逻辑应该是校验Token有效性，并确认用户已认证：

class YourCustomTokenPermission(BasePermission):
    def has_permission(self, request, view):
        token = request.META.get('HTTP_AUTHORIZATION')
        if not token:
            return False
        # 这里替换成你的Token解析&校验逻辑
        try:
            payload = jwt.decode(token.split(' ')[1], settings.SECRET_KEY, algorithms=['HS256'])
            user = User.objects.get(id=payload['user_id'])
            request.user = user
            return True
        except (jwt.InvalidTokenError, User.DoesNotExist):
            return False

3. 多重认证方式的优先级冲突 #

如果你的后端同时配置了Session认证和Token认证，登录状态下框架可能优先使用Session认证，而你的自定义权限类只校验Token，导致Session认证后的用户没有通过Token校验，最终返回403。

解决方法： #

在API的认证配置中，把Token认证放在最前面，或者直接移除Session认证：
以Django REST Framework为例，在settings.py中调整：

REST_FRAMEWORK = {
    'DEFAULT_AUTHENTICATION_CLASSES': [
        'rest_framework.authentication.TokenAuthentication',
        # 注释掉Session认证，或者调整顺序让Token认证优先
        # 'rest_framework.authentication.SessionAuthentication',
    ],
}

先从这几个方向排查，应该能定位并解决问题。

内容的提问来源于stack exchange，提问作者darkhorse