Class ShopRetrieveUpdateView(generics.RetrieveUpdateAPIView): permission_classes = (IsAuthenticated,)

Question

Class ShopRetrieveUpdateView(generics.RetrieveUpdateAPIView): permission_classes = (IsAuthenticated,)

serializer_class = ShopSerializer

def perform_authentication(self, request):
import pdb; pdb.set_trace()
super().perform_authentication(request)

def update(self, request, *args, **kwargs):
serializer = self.serializer_class(request.user, data=request.data, partial=True)
serializer.is_valid(raise_exception=True)
serializer.save()
return Response(serializer.data, status=status.HTTP_200_OK)

def retrieve(self, request, *args, **kwargs):
serializer = self.serializer_class(request.user)
return Response(serializer.data)
есть такая вьюшка. на retrieve всё работает нормально, а на update выдаёт 403 Forbidden. такое бывает только, если приложение embedded (встроенно в другую страничку с помощью iframe). если standalone, тогда всё норм. смотрел куки, на update и на retrieve они одинаковые. но retrieve выдаёт 403. как такое может быть?