如何在CreateAPIView中抛出HttpResponseForbidden？代码执行后仍返回201

你之前在perform_create里直接返回HttpResponseForbidden()没生效，其实是因为DRF的CreateAPIView的perform_create方法本身不处理返回值——它的作用只是执行创建对象的逻辑，执行完之后视图会继续走默认流程，最后还是返回201的成功响应，完全忽略了你返回的403响应。

这里给你两种可行的解决方法：

方法一：抛出PermissionDenied异常（推荐） #

DRF内置了完善的异常处理机制，当你抛出PermissionDenied异常时，框架会自动把它转换成标准的403 Forbidden响应，还会返回结构化的错误信息，非常规范。

代码示例：

from rest_framework.exceptions import PermissionDenied
from rest_framework.generics import CreateAPIView

class YourCreateView(CreateAPIView):
    serializer_class = YourSerializer  # 替换成你的序列化器
    # 其他配置...

    def perform_create(self, serializer):
        user = self.request.user
        if not user.is_active:
            # 这里可以自定义错误提示信息
            raise PermissionDenied("用户未激活，无法创建该资源")
        # 条件满足时正常保存
        serializer.save()

方法二：重写create方法手动返回响应 #

如果你更习惯手动控制响应内容，可以直接重写create方法，在执行创建逻辑前先判断用户状态，不满足就直接返回HttpResponseForbidden。

代码示例：

from django.http import HttpResponseForbidden
from rest_framework.generics import CreateAPIView

class YourCreateView(CreateAPIView):
    serializer_class = YourSerializer  # 替换成你的序列化器
    # 其他配置...

    def create(self, request, *args, **kwargs):
        # 先判断用户状态
        if not request.user.is_active:
            return HttpResponseForbidden("用户未激活，无法创建该资源")
        # 条件满足时调用父类的create方法走正常流程
        return super().create(request, *args, **kwargs)

两种方法都能实现你的需求，个人更推荐第一种，因为它更符合DRF的设计规范，异常处理也更统一。

内容的提问来源于stack exchange，提问作者Dmitry Sazhnev