La note de quelqu’un d’autre

Fait partie de la section Utilisateurs et comptes du Journey Django de Coddy. Leçon 10 sur 16.

La liste masque les notes des autres, mais pas les pages des notes. Les notes sont numérotées /1/, /2/, /3/ : n’importe qui peut donc essayer le numéro suivant et la lire. Masquer les liens dans une liste ne suffit pas : chaque page doit effectuer une vérification.

get_object_or_404() accepte les mêmes critères de recherche que filter(), autant que tu veux, et ne trouve une ligne que lorsque tous les critères correspondent. Une page de boutique affiche uniquement les commandes qui sont encore ouvertes :

order = get_object_or_404(Order, pk=pk, status="open")

Une commande clôturée renvoie alors 404 Page non trouvée, la même réponse que pour un numéro inexistant. C’est volontaire pour une ligne privée : une réponse 403 Accès interdit indiquerait à un inconnu que la ligne existe.

Order.objects.get() lèverait plutôt DoesNotExist, et le visiteur recevrait une erreur serveur 500 : un plantage.

Défi

Facile

Dans note_detail, affichez une note uniquement à son propriétaire. Une note appartenant à quelqu’un d’autre, ainsi qu’un numéro qui n’existe pas, renvoient tous deux une erreur 404.

Appuyez sur Run, connectez-vous en tant que bob (mot de passe coddy-pass-123), puis ouvrez /1/, l’une des notes d’ada.

Essayez vous-même

from django.contrib.auth import login
from django.contrib.auth.decorators import login_not_required
from django.contrib.auth.forms import UserCreationForm
from django.shortcuts import get_object_or_404, redirect, render

from .forms import NoteForm
from .models import Note


def note_list(request):
    notes = Note.objects.filter(owner=request.user)
    return render(request, "notes/note_list.html", {"notes": notes})


def note_detail(request, pk):
    note = get_object_or_404(Note, pk=pk)
    return render(request, "notes/note_detail.html", {"note": note})


def note_create(request):
    if request.method == "POST":
        form = NoteForm(request.POST)
        if form.is_valid():
            note = form.save(commit=False)
            note.owner = request.user
            note.save()
            return redirect("notes:detail", pk=note.pk)
    else:
        form = NoteForm()
    return render(request, "notes/note_form.html", {"form": form})


def note_edit(request, pk):
    note = get_object_or_404(Note, pk=pk)
    if request.method == "POST":
        form = NoteForm(request.POST, instance=note)
        if form.is_valid():
            form.save()
            return redirect("notes:detail", pk=note.pk)
    else:
        form = NoteForm(instance=note)
    return render(request, "notes/note_form.html", {"form": form, "note": note})


def note_delete(request, pk):
    note = get_object_or_404(Note, pk=pk)
    if request.method == "POST":
        note.delete()
        return redirect("notes:list")
    return render(request, "notes/note_confirm_delete.html", {"note": note})


@login_not_required
def signup(request):
    if request.method == "POST":
        form = UserCreationForm(request.POST)
        if form.is_valid():
            user = form.save()
            login(request, user)
            return redirect("notes:list")
    else:
        form = UserCreationForm()
    return render(request, "notes/signup.html", {"form": form})