在Django REST Framework中使用字段查找作为查询参数过滤查询是否为最佳实践？

你的这种实现思路属于良好的开发实践方向，核心的白名单过滤逻辑是正确且必要的，不过可以通过更贴合DRF生态的方式优化代码的可维护性。

现有代码的优点 #

• 安全可控：通过白名单限制了允许参与过滤的参数，避免了任意查询参数注入导致的无效查询或安全风险，这是保障接口安全的关键操作。
• 场景适配：仅在list动作下应用过滤，符合RESTful接口的设计规范——只有列表接口需要批量筛选数据。

优化建议 #

1. 采用DRF官方推荐的FilterSet（基于django-filter库）

这是DRF生态中处理查询过滤的标准方案，代码更简洁，还支持字段验证、默认值、复杂查询逻辑等扩展功能，维护成本更低。示例代码如下：

from django_filters import rest_framework as filters
from .models import Route

class RouteFilter(filters.FilterSet):
    class Meta:
        model = Route
        fields = {
            'source_id': ['exact'],
            'destination_id': ['exact'],
            'distance': ['lte', 'gte']
        }

# 在视图类中配置使用
class RouteListView(generics.ListAPIView):
    queryset = Route.objects.all()
    serializer_class = RouteSerializer
    filter_backends = [filters.DjangoFilterBackend]
    filterset_class = RouteFilter

配置完成后，django-filter会自动处理查询参数的白名单校验、值解析和QuerySet过滤，无需手动遍历参数。

2. 简化手动实现逻辑（无需第三方库）

如果不想引入额外依赖，可以简化现有代码的循环逻辑，直接批量传入过滤参数：

def get_queryset(self) -> QuerySet[Route]:
    queryset = self.queryset

    if self.action == "list":
        allowed_params = {"source_id", "destination_id", "distance__lte", "distance__gte"}
        filter_params = {
            key: value
            for key, value in self.request.query_params.items()
            if key in allowed_params and value
        }
        if filter_params:
            queryset = queryset.filter(**filter_params)

    return queryset

去掉不必要的循环判断，直接通过字典推导式过滤有效参数后批量应用过滤，代码更简洁高效。

总结 #

核心的白名单过滤思路是正确的，这是避免接口滥用和安全问题的关键。如果是长期维护的项目，推荐使用FilterSet来贴合DRF生态；轻量场景下，简化后的手动实现也完全可行。

内容的提问来源于stack exchange，提问作者Bogdan Knyrik-Kolesnichenko