AllowAny разрешения, необходимые для запросов DELETE в DRF?

Я ищу здесь пояснения.

Я создал приложение для реагирования, которое подключается к Django Rest Framework (DRF). Приложение полностью конфиденциально, что означает, что никто, не прошедший аутентификацию, ничего не может делать. Для этого я использовал TokenAuthentication (пока, потому что я думаю, что SessionAuthentication будет более безопасным).

Я изо всех сил пытаюсь понять это:

• Я могу пройти аутентификацию и установить соответствующий заголовок (авторизация) с помощью моего токена.
• Я могу без проблем выполнять запросы GET / POST / PATCH
• однако: запросы DELETE не работают: я получаю ошибку 401 - Несанкционированный доступ. Но мой заголовок с моим токеном в порядке. Я использую запросы DELETE для удаления объектов из моей базы данных.

Я нашел способ заставить его работать: украсив мой класс представления с помощью @permission_classes((AllowAny, )), он просто отлично работает. Но меня это не устраивает.

Итак, почему это?

В моем файле настроек есть:

REST_FRAMEWORK = {
    'DEFAULT_AUTHENTICATION_CLASSES': (
        'rest_framework.authentication.TokenAuthentication',
    ),
    'DEFAULT_PERMISSION_CLASSES': (
        'rest_framework.permissions.IsAuthenticated', )
}

В документации DRF (ссылка) говорится:

DELETE requests require the user to have the delete permission on the model.

Но мой пользователь является администратором, так зачем мне явно добавлять этот декоратор?

Что я делаю неправильно? Это не лучший способ сделать это. И почему он хорошо работает без декоратора, если я делаю запрос с помощью внешнего клиента API (например, Postman - я использую Paw) ??

Для справки это мой упрощенный класс представления:

@permission_classes((AllowAny, ))
class ObservationAPIView(APIView):

    def delete(self, request, test_id, observation_id, format=None):

        # see if my object exists
        try:
            obs_object_to_delete = Observation.objects.get(pk=observation_id)
            test_obj = Test.objects.get(pk=test_id)

        except ObjectDoesNotExist:
            errormsg = {
                'observation id': observation_id,
                'test id': test_id,
                'message': 'Cannot delete this object. Observation ID or test ID not found.'
            }
            return Response(errormsg, status=status.HTTP_404_NOT_FOUND)

        # it exists, delete it 
        obs_object_to_delete.delete()

        # return the test data (not the deleted object)
        serializer = TestSerializer(test_obj, many=False)
        return Response(serializer.data)

    def patch(self, request, test_id, observation_id, format=None):

        # there is also a PATCH function to allow for edits. 
        # This does work well without the decorator.