django-repos-cadre de retourner 403 réponse sur le POST, PUT, DELETE, malgré AllowAny autorisations

Django REPOS Cadre renvoie le code d'état 403 en vertu d'un couple de circonstances pertinentes:

• Lorsque vous n'avez pas le niveau d'autorisation requis (par exemple, faire une demande d'API comme un utilisateur non authentifié lorsque DEFAULT_PERMISSION_CLASSES est ('rest_framework.permissions.IsAuthenticated',).
• Lorsque vous faites un dangereux type de demande (POST, PUT, corriger ou SUPPRIMER - une demande qui devrait avoir des effets secondaires), vous êtes à l'aide de rest_framework.authentication.SessionAuthentication et vous n'avez pas compris votre CSRFToken dans le requeset.
• Lorsque vous faites un dangereux type de demande et le CSRFToken vous l'avez compris n'est plus valide.

Je vais faire un peu de démo demandes à l'encontre d'un test de l'API pour donner un exemple de chacun pour vous aider à diagnostiquer le problème que vous rencontrez et de montrer comment le résoudre. Je vais utiliser le requests bibliothèque.

Le test de l'API

- Je configurer un très simple DRF API avec un modèle unique, Life, qui contient un seul champ (answer, avec une valeur par défaut de 42). Tout ici est assez simple; je configurer un ModelSerializer - LifeSerializer, un ModelViewSet - LifeViewSet, et un DefaultRouter sur le /life URL route. J'ai configuré DRF d'exiger de l'utilisateur authentifié l'utilisation de l'API et de l'utilisation SessionAuthentication.

Frapper l'API

import json
import requests

response = requests.get('http://localhost:8000/life/1/')
# prints (403, '{"detail":"Authentication credentials were not provided."}')
print response.status_code, response.content

my_session_id = 'mph3eugf0gh5hyzc8glvrt79r2sd6xu6'
cookies = {}
cookies['sessionid'] = my_session_id
response = requests.get('http://localhost:8000/life/1/',
                        cookies=cookies)
# prints (200, '{"id":1,"answer":42}')
print response.status_code, response.content

data = json.dumps({'answer': 24})
headers = {'content-type': 'application/json'}
response = requests.put('http://localhost:8000/life/1/',
                        data=data, headers=headers,
                        cookies=cookies)
# prints (403, '{"detail":"CSRF Failed: CSRF cookie not set."}')
print response.status_code, response.content

# Let's grab a valid csrftoken
html_response = requests.get('http://localhost:8000/life/1/',
                             headers={'accept': 'text/html'},
                             cookies=cookies)
cookies['csrftoken'] = html_response.cookies['csrftoken']
response = requests.put('http://localhost:8000/life/1/',
                        data=data, headers=headers,
                        cookies=cookies)
# prints (403, '{"detail":"CSRF Failed: CSRF token missing or incorrect."}')
print response.status_code, response.content

headers['X-CSRFToken'] = cookies['csrftoken']
response = requests.put('http://localhost:8000/life/1/',
                        data=data, headers=headers,
                        cookies=cookies)
# prints (200, '{"id":1,"answer":24}')
print response.status_code, response.content

Pour n'importe qui qui pourrait trouver le même problème.
Si vous utilisez viewsets sans routeurs comme:

user_list = UserViewSet.as_view({'get': 'list'})
user_detail = UserViewSet.as_view({'get': 'retrieve'})

Django Reste-cadre sera de retour 403, sauf si vous définissez permission_classes un niveau de classe:

class UserViewSet(viewsets.ModelViewSet):
    """
    A viewset for viewing and editing user instances.
    """
    permission_classes= YourPermisionClass

Espère que cela aide!