我是否应该为生产环境禁用BroswablePirenderer？

Question

大家好，我正在部署一个django项目到AWS上的elastic beanstalk。它目前运行良好，但是我想知道允许BrowsableapInderer在我的浏览器上处理请求是好是坏，我试图找到任何与之相关的文档，但如果没有，也没有太多文档。我的应用程序有一个非常严格的权限策略，即使我通过可浏览的API进行访问，它也会返回以下内容：

{
    "detail": "Authentication credentials were not provided."
}

但是，它会显示有关端点的某种“信息”。在这一部分中，我发现很难定义我是否应该允许它，以便其他开发人员可以轻松地了解正在发生的事情，或者另一方面，如果它是一个大的风险，公众可以访问

Answer 1

你可能会发现this question及其答案很有用。基于this answer，提供BrowsableapInderer确实有助于发展：

1. 它提供了与模型对象交互的简单UI界面
2. 它可以提供详细的调试信息
3. URL列表可以在一些API根目录中显示

根据您当前的设置，用户至少需要在DRF登录页面或Django管理页面中登录，才能查看您的API并与之交互

您可以在开发中启用BrowsableAPI，但在生产设置中禁用它following this answer

在生产中，我不希望其他拥有写权限的用户通过BrowsableAPI与API交互。它将强制其他用户使用前端应用程序或其他安全应用程序与API交互。这将提供一个安全层，禁止使用BrowsableAPI进行描述性操作