Autenticación y permisos en Django Rest Framework

Contenido del curso

Fundamentos de Django Rest Framework

Vistas y Endpoints

Serializadores Avanzados

Testing y Desempeño

Tomar examen

Cursos Empresas Blog Live Conf Eventos Precios

0:0016:19

Autenticación y permisos en Django Rest Framework

Curso de Django Rest Framework

Clase 15 de 21

Clase 15 / 21

Recursos

Asegura tus endpoints en Django Rest Framework con un flujo claro de autenticación, autorización y permission classes. Con SessionAuthentication, inicio de sesión vía API auth y permisos como IsAuthenticated, IsAuthenticatedOrReadOnly y un permiso personalizado IsDoctor, puedes controlar quién entra y qué puede hacer en tu API.

¿Qué significan autenticación y autorización en APIs?

La autenticación verifica quién eres: como mostrar tu documento al llegar a un hotel. En sistemas, suele ser usuario y contraseña. La autorización define qué puedes hacer: la llave del hotel abre solo tu habitación, no todas. En APIs, es el conjunto de permisos que habilitan acciones específicas.

Autenticación: demostrar identidad con credenciales.
Autorización: limitar acciones según permisos.
Metáfora del hotel aplicada a endpoints.

¿Cómo configurar Django Rest Framework con session authentication?

Django Rest Framework reutiliza el sistema de Django. Con SessionAuthentication, tras autenticarse, Django agrega una cookie que viaja en cada request para identificarte. Así, puedes usar el mismo login que en Django admin.

Configura DEFAULT_AUTHENTICATION_CLASSES con SessionAuthentication.
Agrega la URL de API auth e incluye las rutas del sistema de DRF.
Recarga la interfaz de DRF: aparece el link Login.
Crea un superusuario con manage.py create super user.
Inicia sesión y verás tu usuario y el Logout en la esquina superior derecha.

# settings.py
REST_FRAMEWORK = {
    'DEFAULT_AUTHENTICATION_CLASSES': [
        'SessionAuthentication',
    ],
}

# urls.py (agregar la ruta de autenticación de DRF)
urlpatterns = [
    # ...
    path('api-auth/', include('rest_framework.urls')),
]

# crear superusuario
python manage.py create super user

¿Cómo aplicar permisos y proteger endpoints con Django Rest?

Con permission classes puedes exigir autenticación, permitir solo lectura a anónimos o crear reglas a la medida. La interfaz de DRF reacciona a estos permisos: si no puedes escribir, oculta formularios.

¿Qué permission classes usar para acceso seguro?

Al definir en tu view set algo como permission_classes, puedes activar IsAuthenticated para que todo el view set funcione solo si hay sesión iniciada.

Si no hay sesión, devuelve un detalle en JSON: “La autenticación no está proveída”.
La respuesta es un 401 al estar deslogueado.
Al loguearte, los endpoints vuelven a responder.

# ejemplo en un ViewSet
class DoctorViewSet(ModelViewSet):
    permission_classes = [IsAuthenticated]

¿Cómo permitir lectura pública con IsAuthenticatedOrReadOnly?

Cuando necesitas listar recursos públicamente pero evitar modificaciones a usuarios anónimos, usa IsAuthenticatedOrReadOnly.

Usuarios anónimos ven la lista.
La UI de DRF oculta el formulario de edición.
Usuarios autenticados mantienen las acciones de escritura.

class DoctorViewSet(ModelViewSet):
    permission_classes = [IsAuthenticatedOrReadOnly]

¿Cómo crear un permiso personalizado IsDoctor con grupos?

Para reglas de negocio más finas, crea un permiso a medida. Ejemplo: solo usuarios del grupo Doctors pueden modificar doctores.

Pasos clave:

En Django admin, crea el grupo Doctors y asígnalo al usuario admin.
Crea permissions.py con un permiso IsDoctor.
Hereda de PermissionsBasedPermission y sobrescribe hasPermission.
Valida el grupo con request.user.groups.filter(name='Doctors').exists().
Combina en el view set: primero autenticación y luego IsDoctor.

# permissions.py
from rest_framework import permissions

class IsDoctor(permissions.PermissionsBasedPermission):
    def hasPermission(self, request, view):
        return request.user.groups.filter(name='Doctors').exists()

# uso en el ViewSet: primero autenticado, luego regla de doctor
class DoctorViewSet(ModelViewSet):
    permission_classes = [IsAuthenticated, IsDoctor]

Pruebas prácticas:

Usuario con grupo Doctors edita un doctor con éxito.
Usuario sin grupo recibe 403 Prohibido: “No tienes permisos para hacer esta acción”.
Diferencia clara entre 401 (no autenticado) y 403 (autenticado sin permiso).

¿Quieres que revisemos tu configuración de permisos o un caso de negocio específico? Cuéntame en los comentarios qué reglas necesitas implementar.

Fundamentos de Django Rest Framework

Django REST Framework para APIs escalables

Qué es una API REST y cómo usar JSON

Configuración de Django REST Framework paso a paso

Django Rest: qué reutiliza de Django

Serializers Django: modelos a JSON fácil

Listado de pacientes con serializers en DRF

POST y GET en el mismo endpoint con Django REST

CRUD completo con PUT y DELETE en Django Rest

Cómo probar APIs con Postman y curl

Django Rest Framework: de funciones a vistas genéricas

Vistas genéricas en Django Rest Framework

Documentación automática de APIs con drf-spectacular

Vistas y Endpoints

ViewSets vs APIView: refactor automático de URLs

Acciones personalizadas en ViewSets REST

Autenticación y permisos en Django Rest Framework

Validaciones custom en Django Rest Framework

Serializadores Avanzados

Serializadores anidados en Django REST Framework

Calcular campos dinámicos con SerializerMethodField

Endpoint anidado para citas en Django REST

Testing y Desempeño

Tests de API con APIClient en Django

Throttling en Django Rest para evitar ataques DOS

Autenticación y permisos en Django Rest Framework

Progreso del curso

Fundamentos de Django Rest Framework

Vistas y Endpoints

Serializadores Avanzados

Testing y Desempeño

Recursos

Recursos