Django Rest Framework-Objekt-Level-Berechtigung für POST

Question

Ich möchte sicherstellen, dass der request.user nur eine POST-Anfrage erstellen kann, um ein Forum Thema zu erstellen, in dem sie der Autor sind. Mit PUT und DELETE kann ich das erreichen, indem ich die has_object_permission benutze, aber mit POST kann ich das nicht, ich schätze, weil das Objekt noch nicht erstellt wurde.

class TopicPermission(IsAuthenticatedOrReadOnly): 
    """ 
    Any user should be able to read topics but only authenticated 
    users should be able to create new topics. An owner or moderator 
    should be able to update a discussion or delete. 
    """ 
    def has_object_permission(self, request, view, obj): 
     if request.method in SAFE_METHODS: 
      return True 

     # Instance must have an attribute named `author` or moderator 
     return obj.author == request.user or request.user.forum_moderator 

Wie würde ich über gehen request.user == obj.author in POST-Anfragen zu überprüfen?

Answer 1

ich am Ende tun die Validierung in der Viewset anstelle des Serializer:

class TopicViewSet(viewsets.ModelViewSet): 
    permission_classes = (TopicPermission,) 
    queryset = Topic.objects.all() 
    serializer_class = TopicSerializer 

    def create(self, request, *args, **kwargs): 
     """ 
     verify that the POST has the request user as the obj.author 
     """ 
     if request.data["author"] == str(request.user.id): 
      serializer = self.get_serializer(data=request.data) 
      serializer.is_valid(raise_exception=True) 
      self.perform_create(serializer) 
      headers = self.get_success_headers(serializer.data) 
      return Response(serializer.data, status=201, headers=headers) 
     else: 
      return Response(status=403)