代码之家 › 专栏 › 技术社区 › Scott Skiles

如何防止用户在Django DetailView中看到不属于他们的数据?

django-models django python

Scott Skiles · 技术社区 · 7 年前

我有一个web应用程序,用户在其中登录并开始输入项目 ToDoList . 这个 base.html is_authenticated 选中此复选框,以便用户在登录之前无法看到应用程序中的任何内容。我在做一些测试:

以身份登录 User2
ToDoListItem
DetailView
在本例中,URL= http://localhost:8000/to_do_list/to_do_item/72

此时我意识到DetailView将允许查看详细信息 托多利斯蒂姆 对于 User1 只要进入一个现有的 pk 分为: http://localhost:8000/to_do_list/to_do_item/<int:pk> .

url.py包含

path('to_do_item/<int:pk>', views.ToDoListItemDetail.as_view(), name='todo-item-detail'),

视图.py

class ToDoListItemDetail(DetailView):
    model = ToDoListItem

todolistitem\u detail.html文件

{% extends 'base.html' %}
{% block content %}

<a href="/">Home</a>
    <h1>DetailView for 'ToDoListItem' model</h1>
    <p>TaskTitle: '{{ object.title }}'</p>
    <p>Complete: '{{ object.is_complete }}'</p>
    <p>User: '{{ object.user}}'</p> 
{% endblock %}

我可以完全删除DetailView并指向一个只返回用户数据的不同URL(使用类似 ToDoListItem.objects.filter(user=request.user) )
我可以检查登录的用户的名称是否与拥有 托多利斯蒂姆 .
我可以重写 get_context_data() 对于DetailView并在那里检查用户所有权(类似于no.1,但在DetailView中)
??? (还有比上面更好的东西我还不知道)

2 回复 | 直到 7 年前

willeM_ Van Onsem 7 年前

你可以 滤波器 在 DetailView 同样,通过覆盖 get_queryset method [Django-doc]

from django.contrib.auth.mixins import LoginRequiredMixin

class ToDoListItemDetail(LoginRequiredMixin, DetailView):

    model = ToDoListItem

    def get_queryset(self, *args, **kwargs):
        return super(ToDoListItemDetail, self).get_queryset(
            *args, **kwargs
        ).filter(user=self.request.user)

Django会一直在窗帘后面打电话 get_queryset(..) . 默认情况下,此函数返回 model 您指定了所有对象。但是你可以进一步过滤。

get_object method [Django-doc] 然后用 id slug ,但如果已筛选出不属于 self.request.user

在这里添加 LoginRequiredMixin [Django-doc] 如果用户没有登录,您可能需要将hem/her重定向到登录屏幕。

Alberto Arzuaga Torres 7 年前

有一个名为的权限:¨可以阅读¨ 允许您处理访问。例如:

class FruitEdit(PermissionRequiredMixin,DetailView):
      permission_required = 'app.read_fruit'
      ...

推荐文章

Google User · Django管理员在`list_display中未显示`creation_date`字段`

1 年前

user29747013 · 如何创建一个新的数据框架,其中包含原始数据框架中列的聚合列?

1 年前

ÎÎÎ½Î· ÎÎ®Î¹Î½Î¿Ï · Python lxml.html语法错误:使用lxml find时XPATH的谓词无效

1 年前

user29715306 · from_users=和chats=电视节目中的差异

1 年前

Redshoe · 当执行numpy.genfromtxt()时,python是否会读取文件的所有行?

1 年前

RASEL MAHMUD · 为什么以及如何在is_even()函数内的IF条件中递归X变量在满足0后递增?[副本]

1 年前

prayner · 更新嵌套字典包含列表中的项

1 年前

Bringo Jr · 我可以在O(n)中解决这个问题吗?

1 年前

Dave · 如何在for循环中修改列表值

1 年前

Shukurullox Komiljonov · 从记录中获得相互和解。使用SQL

1 年前