如何禁用django-rest-framework的管理风格的可浏览界面?

我正在使用django-rest-framework。它提供了一个很棒的Django管理风格的可浏览的自文档API。但是任何人都可以访问这些页面并使用接口添加数据(POST)。我如何禁用它?

56774 次浏览
小开
最佳答案

您只需要从视图支持的呈现器列表中删除可浏览的API呈现器。

一般来说:

REST_FRAMEWORK = {
'DEFAULT_RENDERER_CLASSES': (
'rest_framework.renderers.JSONRenderer',
)
}

阅览基础:

class MyView(...):
renderer_classes = [renderers.JSONRenderer]

一边:

在许多情况下，我认为人们在任何情况下都选择禁用可浏览API是一种耻辱，因为它对任何开发人员的API工作都有很大的帮助，并且它没有给他们更多的权限。我可以看到在一些情况下这样做可能有商业原因，但通常我认为这是一个巨大的资产。不过，在某些情况下，可能会显示一些非公共API可能不希望公开的细节(如自定义操作的名称)。

有关将可浏览API呈现器限制为开发的更多细节，请参见答案如下。

小开

虽然对这个问题的公认答案确实回答了问题的措辞，但我觉得它并没有解决手头的实际问题。

为了完整地回答这个问题，禁用可浏览的HTML api是通过从渲染器类中删除它来完成的，如下所示:

REST_FRAMEWORK = {
'DEFAULT_RENDERER_CLASSES': (
'rest_framework.renderers.JSONRenderer',
)
}

然而，这个问题所暗示的实际问题是人们可以在没有身份验证的情况下发布到API。虽然删除表单会使其不那么明显，但这个答案并不能保护API端点。

至少，有人发现了这个问题，并试图保护API免受未经认证或未经授权的POST提交;他们正在寻找改变API的权限

以下命令将所有端点设置为只读，除非用户通过身份验证。

REST_FRAMEWORK = {
'DEFAULT_PERMISSION_CLASSES': (
'rest_framework.permissions.IsAuthenticatedOrReadOnly',
)
}

如果你想完全隐藏API，除非用户登录，你也可以使用IsAuthenticated。

供参考:这也将从HTML可浏览API中删除表单，因为它响应权限。当经过身份验证的用户登录时，表单将再次可用。

奖金轮:

只在开发中启用可浏览的HTML API:

DEFAULT_RENDERER_CLASSES = (
'rest_framework.renderers.JSONRenderer',
)


if DEBUG:
DEFAULT_RENDERER_CLASSES = DEFAULT_RENDERER_CLASSES + (
'rest_framework.renderers.BrowsableAPIRenderer',
)


REST_FRAMEWORK = {
'DEFAULT_PERMISSION_CLASSES': (
'rest_framework.permissions.IsAuthenticatedOrReadOnly',
),
'DEFAULT_RENDERER_CLASSES': DEFAULT_RENDERER_CLASSES
}
小开 
 # For Production Only
REST_FRAMEWORK = {
'DEFAULT_RENDERER_CLASSES': (
'rest_framework.renderers.JSONRenderer',
)
}

只要把这个添加到你的settings.py就会禁用Browsable API!

小开

在settings.py中，你可以像这样包含DEBUG标志:

DEBUG = env.bool("API_DEBUG", default=True)

然后，如果DEBUG被设置为True或False，你可以基于该标志设置呈现行为:

if DEBUG:
DEFAULT_RENDERER_CLASSES = (
"rest_framework.renderers.JSONRenderer",
"rest_framework.renderers.BrowsableAPIRenderer",
)
else:
DEFAULT_RENDERER_CLASSES = (
"rest_framework.renderers.JSONRenderer",
)


REST_FRAMEWORK = {
'DEFAULT_RENDERER_CLASSES': DEFAULT_RENDERER_CLASSES,
}

这样，当API处于调试模式时，它将显示可浏览的API，当它不在调试模式时，它将只呈现JSON。


提交答案