есть пермишин классы есть валидация в сериализаторах
пермишин классы сделал. мне всё равно надо один обьект вытаскивать из сессии, чтобы потом использовать его как Foreign Key. это лучше делать в ModelViewSet.perform_create или serializer.create?
да, attributes, но это же неважно? Можно же использовать CartItemAttribute.objects.filter(cart_item=cart_item), и получится то же что и cart_item.attributes.all()