Как работают permissions в DRF?

Permissions — проверка прав доступа. Встроенные: IsAuthenticated, IsAdminUser, IsAuthenticatedOrReadOnly, AllowAny. Кастомный: наследуй BasePermission, переопредели has_permission (уровень view) и has_object_permission (уровень объекта). permission_classes = [IsAuthenticated, IsOwner] — AND логика (все должны пройти). Для OR — используй django-rest-framework-condition или свой класс. DEFAULT_PERMISSION_CLASSES в settings — глобально. Permissions проверяются до выполнения view.