Jak wyłączyć interfejs django-rest-framework w stylu administratora?

Używam django-rest-framework . Zapewnia niesamowity, samodokumentujący się interfejs API w stylu administratora Django. Ale każdy może odwiedzić te strony i użyć interfejsu do dodawania danych (POST). Jak mogę to wyłączyć?

Wystarczy usunąć moduł renderujący interfejsu API z możliwością przeglądania z listy obsługiwanych mechanizmów renderowania dla tego widoku.

Ogólnie:

REST_FRAMEWORK = {
    'DEFAULT_RENDERER_CLASSES': (
        'rest_framework.renderers.JSONRenderer',
    )
}

Podstawa wyświetlenia:

class MyView(...):
    renderer_classes = [renderers.JSONRenderer]

Poza :

W wielu przypadkach myślę, że to wstyd, że ludzie zdecydowaliby się wyłączyć interfejs API z możliwością przeglądania w każdym przypadku, ponieważ jest to duża pomoc dla programistów pracujących nad interfejsem API i nie daje im więcej uprawnień, które mieliby w innym przypadku . Widzę, że w niektórych przypadkach mogą istnieć biznesowe powody, aby to zrobić , ale generalnie uważam to za ogromny atut. Chociaż w niektórych przypadkach mogą być wyświetlane szczegóły (takie jak nazwy akcji niestandardowych), których niepubliczny interfejs API może nie chcieć ujawniać.

Zobacz również odpowiedź poniżej, aby uzyskać więcej informacji na temat ograniczania modułu renderowania interfejsu API z możliwością przeglądania do programowania.

Chociaż przyjęta odpowiedź na to pytanie odpowiada na pytanie tak, jak została sformułowana, uważam, że nie rozwiązuje ona rzeczywistego problemu.

Aby uzyskać kompletność w tej odpowiedzi, wyłączenie interfejsu API HTML z możliwością przeglądania odbywa się poprzez usunięcie go z klas renderowania, w następujący sposób:

REST_FRAMEWORK = {
    'DEFAULT_RENDERER_CLASSES': (
        'rest_framework.renderers.JSONRenderer',
    )
}

Jednak faktycznym problemem, do którego odnosi się pytanie, jest możliwość wysyłania postów do API bez uwierzytelniania. Chociaż usunięcie formularza czyni go mniej oczywistym, ta odpowiedź nie chroni punktów końcowych interfejsu API.

Jako minimum, ktoś znajduje to pytanie i chce chronić API przed nieuwierzytelnionymi lub nieautoryzowanymi zgłoszeniami POST; chcą zmienić uprawnienia API

Poniższe ustawienia ustawią wszystkie punkty końcowe jako tylko do odczytu, chyba że użytkownik jest uwierzytelniony.

REST_FRAMEWORK = {
    'DEFAULT_PERMISSION_CLASSES': (
        'rest_framework.permissions.IsAuthenticatedOrReadOnly',
    )
}

Jeśli chcesz całkowicie ukryć API, chyba że użytkownik jest zalogowany, możesz również użyć IsAuthenticated.

Do Twojej wiadomości: Spowoduje to również usunięcie formularza z interfejsu API z możliwością przeglądania w formacie HTML, ponieważ odpowiada on na uprawnienia. Gdy zaloguje się uwierzytelniony użytkownik, formularz będzie ponownie dostępny.

Runda bonusowa :

Włączaj interfejs API HTML z możliwością przeglądania tylko w wersji deweloperskiej:

DEFAULT_RENDERER_CLASSES = (
    'rest_framework.renderers.JSONRenderer',
)

if DEBUG:
    DEFAULT_RENDERER_CLASSES = DEFAULT_RENDERER_CLASSES + (
        'rest_framework.renderers.BrowsableAPIRenderer',
    )

REST_FRAMEWORK = {
    'DEFAULT_PERMISSION_CLASSES': (
        'rest_framework.permissions.IsAuthenticatedOrReadOnly',
    ),
    'DEFAULT_RENDERER_CLASSES': DEFAULT_RENDERER_CLASSES
}

import rest_framework

For Production Only
 REST_FRAMEWORK = {
     'DEFAULT_RENDERER_CLASSES': (
         'rest_framework.renderers.JSONRenderer',
     )
 }

Wystarczy dodać to do swojego Settings.py, aby wyłączyć Browsable API!