Seul l'annonceur peut modifier

Fait partie de la section Vues basées sur des classes du Journey Django de Coddy. Leçon 16 sur 18.

Connectez-vous en tant que grace et ouvrez /jobs/python-developer-brightline/edit/ : ada a publié cette offre d’emploi, et grace peut la modifier. Les pages d’offres d’emploi affichent Edit uniquement à la personne qui a publié l’offre, mais n’importe qui peut saisir l’adresse ou envoyer une requête POST ; la vue elle-même doit donc refuser l’accès.

UserPassesTestMixin appelle une méthode que vous écrivez, test_func(), avant l’exécution de la vue. True laisse passer la requête ; False répond 403 Forbidden à un utilisateur connecté, aussi bien pour GET que pour POST. Un site de recettes n’autorise personne à modifier une recette publiée :

class RecipeUpdateView(LoginRequiredMixin, UserPassesTestMixin, UpdateView):
    model = Recipe
    fields = ["title", "minutes"]

    def test_func(self):
        return not self.get_object().published

Le test s’exécute avant que la vue ait récupéré la ligne ; self.object n’existe donc pas encore. self.get_object() récupère la ligne à partir de l’URL, comme le fera la vue.

Défi

Moyen

Seule la personne qui a publié une offre d’emploi peut la modifier ou la supprimer :

Ajoutez UserPassesTestMixin à JobUpdateView et à JobDeleteView, après LoginRequiredMixin.
Le test réussit uniquement pour la personne qui a publié l’offre. Toute autre personne reçoit une réponse 403 Forbidden, lors d’une requête GET comme POST.

Cliquez sur Run, connectez-vous en tant que grace et ouvrez la page de modification ci-dessus.

Essayez vous-même

from django.contrib.auth.mixins import LoginRequiredMixin
from django.urls import reverse_lazy
from django.views.generic import CreateView, DeleteView, DetailView, ListView, TemplateView, UpdateView

from .models import Job


class HomeView(TemplateView):
    template_name = "jobs/home.html"

    def get_context_data(self, **kwargs):
        context = super().get_context_data(**kwargs)
        context["count"] = Job.objects.count()
        context["latest"] = Job.objects.order_by("-posted").first()
        return context


class AboutView(TemplateView):
    template_name = "jobs/about.html"


class JobListView(ListView):
    model = Job
    context_object_name = "jobs"
    ordering = ["-posted"]
    paginate_by = 5

    def get_queryset(self):
        jobs = super().get_queryset()
        city = self.request.GET.get("city")
        if city:
            jobs = jobs.filter(city=city)
        return jobs


class JobDetailView(DetailView):
    model = Job


class JobCreateView(LoginRequiredMixin, CreateView):
    model = Job
    fields = ["title", "company", "city", "salary", "description"]

    def form_valid(self, form):
        form.instance.posted_by = self.request.user
        return super().form_valid(form)


class JobUpdateView(LoginRequiredMixin, UpdateView):
    model = Job
    fields = ["title", "company", "city", "salary", "description"]


class JobDeleteView(LoginRequiredMixin, DeleteView):
    model = Job
    success_url = reverse_lazy("jobs:list")