Python Django怎么设计RESTful接口_继承DRF的ModelViewSet-Python教程-PHP中文网

够用但需谨慎配置，modelviewset默认提供list、retrieve、create、update、destroy五个动作及标准路由，但实际需手动处理过滤、权限、字段控制、软删除等；必须显式定义get_queryset()和serializer_class，并在perform_create()中注入用户等后端字段。

python django怎么设计restful接口_继承drf的modelviewset

ModelViewSet 默认路由和动作是否真够用？

够用，但容易误以为“写个类就完事”。ModelViewSet 自带 list、retrieve、create、update、destroy 五个动作，对应标准 REST 路由（如 /api/users/ 和 /api/users/{id}/），但实际项目里常要：加搜索、过滤字段、控制返回字段、做权限校验、处理软删除、支持批量操作——这些都不是开箱即用的。

常见错误是直接继承 ModelViewSet 后啥也不重写，结果前端调 GET /api/orders/ 拿到全部订单（含敏感字段），或 POST /api/orders/ 不校验用户只能下自己的单。

必须显式配置 queryset 和 serializer_class，漏写会报 AssertionError: 'View' should either include a `queryset` attribute...
get_queryset() 比直接写 queryset = Xxx.objects.all() 更安全，方便按请求动态过滤（比如只返回当前用户数据）
别在 serializer_class 里硬编码 read_only_fields = ['created_at']，应改用 read_only_fields 或 extra_kwargs 控制字段级行为

怎么限制 list 返回的数据范围？

不能只靠前端传参数，后端必须拦截并约束。DRF 的 get_queryset() 是唯一可靠入口点。

例如用户只能看自己的订单：

def get_queryset(self):
    return Order.objects.filter(user=self.request.user)

如果还要支持管理员查看全部，就得加权限判断：

python-code-analyz

专业Python代码分析与优化，支持语法检查、安全扫描、性能评估、复杂度分析及重构后优化代码生成。

下载

用 self.request.user.is_staff 判断角色，但更推荐用 DRF 的 has_permission 或自定义权限类
避免在 get_queryset() 里写复杂条件链（如 .filter(a=...).filter(b=...).exclude(...)），先用变量存中间 queryset，提高可读性
注意 select_related 和 prefetch_related 必须放 get_queryset() 里，否则序列化时 N+1 查询照常发生

如何让 create/update 避开字段篡改？

ModelViewSet 默认把所有字段都交给序列化器处理，而 ModelSerializer 默认允许所有模型字段写入——这是最大安全隐患。

正确做法是明确声明哪些字段可写、哪些由后端控制：

class OrderSerializer(serializers.ModelSerializer):
    class Meta:
        model = Order
        fields = ['id', 'items', 'status']
        read_only_fields = ['id', 'status']  # id 和 status 不允许客户端提交
        extra_kwargs = {
            'items': {'required': True},
        }

read_only_fields 只影响序列化输出，不影响反序列化输入；真正阻止字段被写入的是 extra_kwargs 中的 'write_only': True 或直接不列在 fields 里

用户 ID、时间戳这类字段绝不能从 request.data 取，必须在 perform_create() 里注入：

def perform_create(self, serializer):
    serializer.save(user=self.request.user, created_at=timezone.now())

如果需要校验字段间逻辑（如 “结束时间不能早于开始时间”），必须在 Serializer 的 validate() 方法里做，而不是视图层

为什么 PATCH 请求有时 400 却没提示？

因为 DRF 默认对 partial update 做宽松校验，但某些字段（比如外键关联对象不存在）仍会静默失败，最终返回空响应或 400 + 无意义错误信息。

关键检查点：

确认 URL 路径是否带尾部斜杠 —— Django 2.2+ 默认 APPEND_SLASH=True，但 DRF 路由若用 router.register() 生成，必须保证路径末尾有 /，否则 PATCH /api/orders/1（缺斜杠）会被重定向成 GET，导致方法错乱
检查 serializer.is_valid(raise_exception=True) 是否启用；没启用时错误会吞掉，需手动 print serializer.errors
外键字段提交字符串而非 ID（如 {"category": "electronics"}）会直接 400，必须传整数 ID 或确保 CategorySerializer 支持 slug lookup（通过 lookup_field 和 to_internal_value）