is_authenticated возвращает True для вышедшего из системы пользователя

К сожалению, метод is_authenticated() всегда возвращает true.

 def is_authenticated(self):
    """
    Always return True. This is a way to tell if the user has been
    authenticated in templates.
    """
    return True

Он предназначен для различения между экземпляром User и экземпляром AnonymousUser, который установлен для User, когда он не проходит аутентификацию.

Попробуйте получить всех аутентифицированных пользователей, а затем проверьте, есть ли среди них целевой пользователь:

from django.contrib.auth.models import User
from django.contrib.sessions.models import Session
from django.utils import timezone

def get_all_logged_in_users_ids():
    # Query all non-expired sessions
    # use timezone.now() instead of datetime.now() in latest versions of Django
    sessions = Session.objects.filter(expire_date__gte=timezone.now())
    uid_list = []

    # Build a list of user ids from that query
    for session in sessions:
        data = session.get_decoded()
        uid_list.append(data.get('_auth_user_id', None))
    return uid_list

class SendMessage(generics.CreateAPIView):
    permission_classes = (permissions.IsAuthenticated,)
    serializer_class = MessageSerializer

    def perform_create(self, serializer):
        m = self.request.data['msg']
        if (self.request.data['user'] in get_all_logged_in_users_ids()):
            # Send message
        else:
            # Don't send message

Справочник.

Вы неправильно поняли, что проверяет is_authenticated.

Помните, что Интернет — это среда без сохранения состояния. Статус «вошел в систему» ​​на уровне сервера отсутствует: единственная запись о том, вошел ли пользователь в систему или нет, - это наличие файла cookie на компьютере этого пользователя.

Поскольку пользователь всегда может закрыть свой браузер или выключить компьютер без уведомления сервера, нет надежного способа узнать, действительно ли пользователь вошел в систему. Единственный способ приблизиться к этому — это иметь какой-то повторный вызов Ajax каждые несколько секунд, отправляя сообщение в представление, которое обновляет запись пользователя с текущим временем. Затем вы можете проверить, действительно ли пользователь обновлялся в течение последних нескольких секунд. Однако это не будет абсолютно надежным.

В качестве альтернативы вы можете использовать какую-то систему длительного опроса, чтобы держать канал открытым.