Bagaimana menonaktifkan antarmuka admin-gaya django-rest-framework?

Saya menggunakan django-rest-framework . Ini memberikan Django admin style mengagumkan yang dapat didokumentasikan API self-documenting. Tetapi siapa pun dapat mengunjungi halaman-halaman itu dan menggunakan antarmuka untuk menambahkan data (POST). Bagaimana saya bisa menonaktifkannya?

Anda hanya perlu menghapus renderer API yang dapat dijelajahi dari daftar renderer yang didukung untuk tampilan.

Umumnya:

REST_FRAMEWORK = {
    'DEFAULT_RENDERER_CLASSES': (
        'rest_framework.renderers.JSONRenderer',
    )
}

Per-view basis:

class MyView(...):
    renderer_classes = [renderers.JSONRenderer]

Selain :

Dalam banyak kasus saya pikir itu memalukan bahwa orang akan memilih untuk menonaktifkan API yang dapat dijelajahi dalam hal apa pun, karena ini merupakan bantuan besar bagi setiap pengembang yang bekerja pada API, dan itu tidak memberi mereka lebih banyak izin yang seharusnya mereka miliki . Saya dapat melihat bahwa mungkin ada alasan bisnis untuk melakukannya dalam beberapa kasus, tetapi umumnya saya menganggapnya sebagai aset besar. Meskipun, dalam beberapa kasus mungkin ada detail yang ditampilkan (seperti nama tindakan khusus) yang mungkin tidak ingin diungkapkan oleh API non-publik.

Lihat juga jawaban di bawah ini untuk detail lebih lanjut tentang membatasi rendering API yang dapat dijelajahi ke pengembangan.

Sementara jawaban yang diterima untuk pertanyaan ini memang menjawab pertanyaan seperti yang telah dikatakan, saya merasa bahwa itu tidak menyelesaikan masalah aktual yang ada.

Untuk melengkapi dalam jawaban ini, menonaktifkan api HTML yang dapat ditelusuri dilakukan dengan menghapusnya dari kelas renderer seperti:

REST_FRAMEWORK = {
    'DEFAULT_RENDERER_CLASSES': (
        'rest_framework.renderers.JSONRenderer',
    )
}

Namun, masalah aktual yang disinggung pertanyaan adalah orang-orang dapat memposting ke API tanpa otentikasi. Saat menghapus formulir membuatnya kurang jelas, jawaban ini tidak melindungi titik akhir API.

Minimal, seseorang menemukan pertanyaan ini dan ingin melindungi API dari pengiriman POST yang tidak diautentikasi, atau tidak sah; mereka ingin mengubah Izin API

Berikut ini akan menetapkan semua titik akhir hanya untuk dibaca kecuali jika pengguna diautentikasi.

REST_FRAMEWORK = {
    'DEFAULT_PERMISSION_CLASSES': (
        'rest_framework.permissions.IsAuthenticatedOrReadOnly',
    )
}

Jika Anda ingin menyembunyikan API sepenuhnya kecuali jika pengguna masuk, Anda juga bisa menggunakan IsAuthenticated.

FYI: Ini juga akan menghapus formulir dari API HTML yang dapat ditelusuri saat menanggapi izin. Ketika pengguna yang diautentikasi masuk, formulir akan tersedia lagi.

Putaran Bonus :

Hanya aktifkan API HTML yang dapat ditelusuri di dev:

DEFAULT_RENDERER_CLASSES = (
    'rest_framework.renderers.JSONRenderer',
)

if DEBUG:
    DEFAULT_RENDERER_CLASSES = DEFAULT_RENDERER_CLASSES + (
        'rest_framework.renderers.BrowsableAPIRenderer',
    )

REST_FRAMEWORK = {
    'DEFAULT_PERMISSION_CLASSES': (
        'rest_framework.permissions.IsAuthenticatedOrReadOnly',
    ),
    'DEFAULT_RENDERER_CLASSES': DEFAULT_RENDERER_CLASSES
}

import rest_framework

For Production Only
 REST_FRAMEWORK = {
     'DEFAULT_RENDERER_CLASSES': (
         'rest_framework.renderers.JSONRenderer',
     )
 }

Cukup Tambahkan ini ke Pengaturan Anda .py harus menonaktifkan API dijelajahi!