Làm cách nào để tắt giao diện có thể duyệt theo kiểu quản trị viên của django-rest-framework?

Tôi đang sử dụng django-rest-framework . Nó cung cấp một API tự ghi tài liệu theo phong cách quản trị viên Django tuyệt vời. Nhưng bất cứ ai cũng có thể truy cập các trang đó và sử dụng giao diện để thêm dữ liệu (POST). Làm thế nào tôi có thể vô hiệu hóa nó?

Bạn chỉ cần xóa trình kết xuất API có thể duyệt khỏi danh sách trình kết xuất được hỗ trợ để xem.

Nói chung là:

REST_FRAMEWORK = {
    'DEFAULT_RENDERER_CLASSES': (
        'rest_framework.renderers.JSONRenderer',
    )
}

Cơ sở mỗi lượt xem:

class MyView(...):
    renderer_classes = [renderers.JSONRenderer]

Ngoài ra :

Trong nhiều trường hợp, tôi nghĩ rằng thật đáng tiếc khi mọi người sẽ chọn vô hiệu hóa API có thể duyệt trong mọi trường hợp, vì nó là một trợ giúp lớn cho bất kỳ nhà phát triển nào làm việc trên API và nó không cung cấp cho họ nhiều quyền hơn mà họ có . Tôi có thể thấy rằng có thể có lý do kinh doanh để làm như vậy trong một số trường hợp, nhưng nói chung tôi coi đó là một tài sản lớn. Mặc dù, trong một số trường hợp, có thể có các chi tiết được hiển thị (như tên của các hành động tùy chỉnh) mà API không công khai có thể không muốn tiết lộ.

Xem thêm câu trả lời bên dưới để biết thêm chi tiết về việc hạn chế trình kết xuất API có thể duyệt để phát triển.

Mặc dù câu trả lời được chấp nhận cho câu hỏi này không trả lời câu hỏi như đã được nói, tôi cảm thấy rằng nó không giải quyết được vấn đề thực tế trong tay.

Để hoàn thiện câu trả lời này, việc vô hiệu hóa api HTML có thể duyệt được thực hiện bằng cách xóa nó khỏi các lớp kết xuất như vậy:

REST_FRAMEWORK = {
    'DEFAULT_RENDERER_CLASSES': (
        'rest_framework.renderers.JSONRenderer',
    )
}

Tuy nhiên, vấn đề thực sự mà câu hỏi ám chỉ là mọi người có thể đăng lên API mà không cần xác thực. Mặc dù việc xóa biểu mẫu làm cho nó ít rõ ràng hơn, câu trả lời này không bảo vệ các điểm cuối API.

Tối thiểu, ai đó tìm thấy câu hỏi này và đang tìm cách bảo vệ API khỏi các bài nộp POST không được xác thực hoặc không được ủy quyền; họ đang tìm cách thay đổi Quyền API

Sau đây sẽ đặt tất cả các điểm cuối chỉ được đọc trừ khi người dùng được xác thực.

REST_FRAMEWORK = {
    'DEFAULT_PERMISSION_CLASSES': (
        'rest_framework.permissions.IsAuthenticatedOrReadOnly',
    )
}

Nếu bạn muốn ẩn hoàn toàn API trừ khi người dùng đăng nhập, bạn cũng có thể sử dụng IsAuthenticated.

FYI: Điều này cũng sẽ xóa biểu mẫu khỏi API có thể duyệt HTML khi nó phản hồi các quyền. Khi người dùng được xác thực đăng nhập, biểu mẫu sẽ có sẵn một lần nữa.

Vòng thưởng :

Chỉ kích hoạt API HTML có thể duyệt trong dev:

DEFAULT_RENDERER_CLASSES = (
    'rest_framework.renderers.JSONRenderer',
)

if DEBUG:
    DEFAULT_RENDERER_CLASSES = DEFAULT_RENDERER_CLASSES + (
        'rest_framework.renderers.BrowsableAPIRenderer',
    )

REST_FRAMEWORK = {
    'DEFAULT_PERMISSION_CLASSES': (
        'rest_framework.permissions.IsAuthenticatedOrReadOnly',
    ),
    'DEFAULT_RENDERER_CLASSES': DEFAULT_RENDERER_CLASSES
}

import rest_framework

For Production Only
 REST_FRAMEWORK = {
     'DEFAULT_RENDERER_CLASSES': (
         'rest_framework.renderers.JSONRenderer',
     )
 }

Chỉ cần thêm phần này vào Cài đặt của bạn sẽ vô hiệu hóa API có thể duyệt!