.retrieve(), .create(), .update(), .partial_update(), and .destroy() ?
list(), retrive() - можно всем, а удалять их можно только админам
более того, как сделать, чтобы объекты принадлежащие юзеру - мог только сам юзер читать и изменять? ну а админ быть может. а не все авторизованые? - на это примеров вообще не видел
Почитай про has_permission()
Обсуждают сегодня