在 django rest 框架中使用 request.user 进行模型反序列化

Question

假设我有一个这样的 ToDo 模型：

class ToDo(models.Model):
    user = models.ForeignKey(UserModel)
    text = models.CharField(max_length=255, blank=True)

我正在为我的 API 使用 django rest 框架。然后我将它用于序列化程序：

class ToDoSerializer(serializers.ModelSerializer):
    class Meta:
        model = ToDo
        fields = ('text', 'id', 'user')

这是ViewSet：

class ToDoResponder(viewsets.ModelViewSet):
    authentication_classes = (TokenAuthentication,)
    permission_classes = (IsAuthenticated,)
    model = ToDo
    def get_queryset(self):
        return ToDo.objects.filter(user=self.request.user)
    serializer_class = ToDoSerializer

当我使用TokenAuthentication 和get_queryset() 时，用户只能看到他自己的待办事项。不幸的是，我可以发送 ToDos 并伪造用户字段，这样我就可以向另一个用户的 ToDo 列表发送垃圾邮件。我不想要那个。

我如何告诉 django-rest-framework 以最 DRY/Pythonic 的方式将 request.user 用于特定字段，例如“用户”？毕竟这不是特殊要求，应该重复使用。

谢谢

Answer 1

在 drf doc http://www.django-rest-framework.org/tutorial/4-authentication-and-permissions 您可以找到创建新权限的解决方案：

from rest_framework import permissions


class IsOwner(permissions.BasePermission):
    def has_object_permission(self, request, view, obj):
        return obj.user == request.user

此时你可以在ToDoResponder中使用它

permission_classes = (IsAuthenticated, IsOwner)

在您的ToDoResponder的同一页面中：

def pre_save(self, obj):
    obj.user = self.request.user
    super(ToDoResponder, self).pre_save(obj)