לצוות בלבד

חלק מהיחידה משתמשים וחשבונות במסלול ה-Django של Coddy. שיעור 12 מתוך 16.

הדף החדש /stats/ סופר משתמשים והערות. הוא מיועד למי שמפעילים את האתר, וכל משתמש מחובר יכול לפתוח אותו.

האם משתמש מחובר זו שאלה אחת; מה מותר למשתמש לעשות זו שאלה אחרת. ל־User יש שני דגלים עבור מי שמפעילים אתר: is_staff (רשאי להשתמש בממשק הניהול) ו־is_superuser (בעל כל ההרשאות).

כשמשתמש מחובר מבקש משהו שאינו מורשה לו, התשובה היא 403 Forbidden: "אני יודע מי אתה, והתשובה היא לא". בתצוגה, העלו את PermissionDenied ו־Django ישלח את תשובת 403. פורום מסרב לקבל תגובות לדיון נעול:

from django.core.exceptions import PermissionDenied


def thread_reply(request, pk):
    thread = get_object_or_404(Thread, pk=pk)
    if thread.locked:
        raise PermissionDenied
    ...

בתבנית הדגלים נמצאים ב־user, ולכן קישור יכול להופיע רק למי שמורשים לעבור אליו. הקישור הוא לנוחות בלבד; הבדיקה בתצוגה היא אמצעי ההגנה.

אתגר

קל

/stats/ מחזיר שגיאת 403 Forbidden לכל משתמש שאינו מצוות הניהול.
ב־base.html, אחרי New note, מופיע קישור Stats אליו, שמוצג רק לצוות הניהול.

לחץ על Run, התחבר בתור ada (מצוות הניהול) ופתח את /stats/. אחר כך נסה את bob. שניהם משתמשים ב־coddy-pass-123.

נסו בעצמכם

from django.contrib.auth import login
from django.contrib.auth.decorators import login_not_required
from django.contrib.auth.forms import UserCreationForm
from django.contrib.auth.models import User
from django.shortcuts import get_object_or_404, redirect, render

from .forms import NoteForm
from .models import Note


def note_list(request):
    notes = Note.objects.filter(owner=request.user)
    return render(request, "notes/note_list.html", {"notes": notes})


def note_detail(request, pk):
    note = get_object_or_404(Note, pk=pk, owner=request.user)
    return render(request, "notes/note_detail.html", {"note": note})


def note_create(request):
    if request.method == "POST":
        form = NoteForm(request.POST)
        if form.is_valid():
            note = form.save(commit=False)
            note.owner = request.user
            note.save()
            return redirect("notes:detail", pk=note.pk)
    else:
        form = NoteForm()
    return render(request, "notes/note_form.html", {"form": form})


def note_edit(request, pk):
    note = get_object_or_404(Note, pk=pk, owner=request.user)
    if request.method == "POST":
        form = NoteForm(request.POST, instance=note)
        if form.is_valid():
            form.save()
            return redirect("notes:detail", pk=note.pk)
    else:
        form = NoteForm(instance=note)
    return render(request, "notes/note_form.html", {"form": form, "note": note})


def note_delete(request, pk):
    note = get_object_or_404(Note, pk=pk, owner=request.user)
    if request.method == "POST":
        note.delete()
        return redirect("notes:list")
    return render(request, "notes/note_confirm_delete.html", {"note": note})


@login_not_required
def signup(request):
    if request.method == "POST":
        form = UserCreationForm(request.POST)
        if form.is_valid():
            user = form.save()
            login(request, user)
            return redirect("notes:list")
    else:
        form = UserCreationForm()
    return render(request, "notes/signup.html", {"form": form})


def stats(request):
    context = {"user_count": User.objects.count(), "note_count": Note.objects.count()}
    return render(request, "notes/stats.html", context)