DRF提供了几种permission level:

如何在API level提供非全局的权限控制？

类view:

然而上面还是不够的，不能提供基于业务的精细化的权限控制。比如老师只能修改自己的课程信息，不能修改不是自己的课程的信息。

本节后半段提供的是如何基于业务需要，自定义权限。从6:03开始的内容开始看