首頁(yè) 猿問(wèn) 如何防止用戶(hù)在 Django...

如何防止用戶(hù)在 Django DetailView 中看到不屬于他們的數(shù)據(jù)？

Python

狐的傳說(shuō) 2021-08-05 10:26:25

我有一個(gè) Web 應(yīng)用程序，用戶(hù)可以在其中登錄并開(kāi)始輸入ToDoList. 在base.html被包裝在一個(gè)is_authenticated檢查，以便用戶(hù)無(wú)法看到任何東西的應(yīng)用，直到他們已經(jīng)登錄我在做一些測(cè)試用：登錄為 User2添加一個(gè)新的 ToDoListItem重定向到 DetailView在這種情況下，URL = http://localhost:8000/to_do_list/to_do_item/72此時(shí)我意識(shí)到的DetailView將允許User2看到任何細(xì)節(jié)ToDoListItem的User1只是通過(guò)輸入現(xiàn)有pk分為：http://localhost:8000/to_do_list/to_do_item/<int:pk>。urls.py 包括path('to_do_item/<int:pk>', views.ToDoListItemDetail.as_view(), name='todo-item-detail'),視圖.pyclass ToDoListItemDetail(DetailView): model = ToDoListItemtodolistitem_detail.html{% extends 'base.html' %}{% block content %}<a href="/">Home</a> <h1>DetailView for 'ToDoListItem' model</h1> <p>TaskTitle: '{{ object.title }}'</p> <p>Complete: '{{ object.is_complete }}'</p> <p>User: '{{ object.user}}'</p> {% endblock %}防止這種情況發(fā)生的推薦方法是什么？我正在考慮以下幾點(diǎn)：我可以完全刪除 DetailView 并定向到僅返回用戶(hù)數(shù)據(jù)的不同 URL（使用類(lèi)似ToDoListItem.objects.filter(user=request.user)）我可以檢查登錄用戶(hù)的名稱(chēng)是否與擁有ToDoListItem.我可以覆蓋get_context_data()DetailView 并在那里檢查用戶(hù)所有權(quán)（類(lèi)似于 1，但在 DetailView 中）？？？（還有比上面更好的東西，我還不知道）有沒(méi)有辦法限制用戶(hù)在整個(gè)應(yīng)用程序中只能看到他們自己的數(shù)據(jù)，而無(wú)需在每次需要時(shí)實(shí)現(xiàn)此邏輯？

查看完整描述

2 回答

qq_遁去的一_1

TA貢獻(xiàn)1725條經(jīng)驗(yàn) 獲得超8個(gè)贊

可以過(guò)濾在DetailView為好，通過(guò)重寫(xiě)get_queryset方法[Django的DOC] ：

from django.contrib.auth.mixins import LoginRequiredMixin

class ToDoListItemDetail(LoginRequiredMixin, DetailView):

model = ToDoListItem

def get_queryset(self, *args, **kwargs):

return super(ToDoListItemDetail, self).get_queryset(

*args, **kwargs

).filter(user=self.request.user)

Django 總是會(huì)在幕后調(diào)用get_queryset(..). 默認(rèn)情況下，此函數(shù)返回model您指定的所有對(duì)象的查詢(xún)集。但是你可以進(jìn)一步過(guò)濾它。

Django 的get_object方法 [Django-doc]然后將使用idand/or進(jìn)一步過(guò)濾它slug，但是如果您已經(jīng)過(guò)濾掉了不屬于的元素self.request.user，那么這只會(huì)導(dǎo)致查詢(xún)不返回任何結(jié)果。

在這里將LoginRequiredMixin[Django-doc]添加到您的類(lèi)中也是有意義的，因?yàn)槿绻脩?hù)沒(méi)有登錄，您可能希望將下擺/她重定向到登錄屏幕。

反對(duì) 回復(fù) 2021-08-05