90%的CRUD场景应选ModelViewSet，它内置增删改查、序列化、分页和权限；非标操作（如导出Excel）才用APIView；ViewSet需配合Router注册，APIView需显式调用as_view()。
DRF 的 APIView 和 ViewSet 到底该选哪个？
新手写 API 时最常卡在这一步：用 APIView 还是 ViewSet？答案很直接——90% 的 CRUD 场景直接上 ModelViewSet，它自带增删改查逻辑、序列化、分页、权限检查，不用手写 get/post 方法。只有当你需要非标行为（比如导出 Excel、触发异步任务、聚合多个模型）才退回到 APIView。
容易踩的坑：ViewSet 必须配 Router 才能注册路由，光写类不加 urls.py 里的 router.register()，接口根本不会出现；而 APIView 是传统路径绑定，容易漏写 as_view()。
-
ModelViewSet默认支持list、retrieve、create、update、destroy五个动作，对应 HTTP 方法自动映射 - 想禁用某个动作（比如不允许删除），直接在类里加
http_method_names = ['get', 'post', 'put'] - 如果要复用同一套序列化逻辑但返回不同字段，别硬改
Serializer类，用fields动态控制更安全
序列化器 Serializer 怎么写才不翻车？
DRF 的核心不是视图，是 Serializer。它既做数据校验，又管字段转换，还影响 API 返回结构。很多人把 ModelSerializer 当成“自动映射模型”，结果字段类型错、空值报错、外键嵌套没展开，全在这儿崩。
常见错误现象：ValidationError: {'name': ['This field is required.']} 明明前端传了却报缺字段，大概率是 Serializer 没设 required=False 或 allow_blank=True；或者用了 read_only=True 却想在 POST 时写入。
-
ModelSerializer默认只包含model的fields列表里声明的字段，漏写就不出现在请求/响应里 - 外键字段默认只返回 ID，要显示关联字段内容，得用
StringRelatedField或嵌套Serializer，但注意 N+1 查询问题 -
to_representation可以定制输出结构，但别在里面做数据库查询；to_internal_value适合预处理输入，比如把字符串时间转成datetime
settings.py 里这三行配置不加，API 就跑不稳
DRF 不是装完就能用，有三个基础配置项漏掉一个，轻则分页失效、跨域报错，重则整个 API 返回 500 却不报具体原因。
最容易被忽略的是 DEFAULT_RENDERER_CLASSES：不显式声明，Django 默认用 HTML 渲染器，浏览器访问 API 页面会渲染成网页，但 Postman/curl 却拿不到 JSON，还以为是代码问题。
- 必须加
'DEFAULT_AUTHENTICATION_CLASSES'，哪怕暂时用SessionAuthentication，否则登录态无法透传到 API 层 -
'DEFAULT_PAGINATION_CLASS'和'PAGE_SIZE'要一起设，不然list接口一次返回全部数据，列表一多就拖垮数据库 - 开发环境建议打开
'DEFAULT_SCHEMA_CLASS': 'drf_spectacular.openapi.AutoSchema'（需额外装drf-spectacular），不然连 Swagger 都起不来
为什么 POST 请求总返回 403？CSRF 和 Token 到底怎么配？
本地调试时，浏览器发 POST 报 403 Forbidden，十有八九是 CSRF 校验没绕过。DRF 默认继承 Django 的 CSRF 机制，但 API 场景下不该依赖 session cookie，得切到 token 认证。
关键点在于：CSRF 保护只对 SessionAuthentication 生效，如果你用了 TokenAuthentication 或 JWT，反而要关掉 CSRF 检查，否则每次请求都得带 X-CSRFToken 头，前端根本不知道从哪取。
- 使用
TokenAuthentication时，在视图类里明确写authentication_classes = [TokenAuthentication]，并确保请求头带Authorization: Token xxxxx - 若前后端分离（如 Vue/React），后端
settings.py中应禁用django.middleware.csrf.CsrfViewMiddleware，或用@csrf_exempt包裹特定 API 视图（仅限调试） -
Token不是自动创建的，用户注册/登录后得手动调用Token.objects.get_or_create(user=user)，否则前端拿不到 token
复杂点在于认证链路：前端存 token 的位置（localStorage 还是 httpOnly cookie）、过期策略、刷新机制，这些 DRF 本身不处理，得靠 djangorestframework-simplejwt 或自己补。
