投稿者だけが編集できる

CoddyのDjangoジャーニー「クラスベースビュー」セクションの一部。レッスン 16/18。

graceとしてログインし、/jobs/python-developer-brightline/edit/を開きましょう。その求人を投稿したのはadaで、graceは編集できます。求人ページでは、投稿者にだけEditが表示されますが、誰でもアドレスを入力したりPOSTを送信したりできるため、ビュー自体が拒否しなければなりません。

UserPassesTestMixinは、ビューが実行される前に、あなたが記述するメソッドtest_func()を呼び出します。これがTrueを返すと、リクエストは処理されます。Falseを返すと、ログイン済みのユーザーには、GETでもPOSTでも403 Forbiddenレスポンスが返されます。レシピサイトで、公開済みのレシピを誰も変更できないようにする例を見てみましょう。

class RecipeUpdateView(LoginRequiredMixin, UserPassesTestMixin, UpdateView):
    model = Recipe
    fields = ["title", "minutes"]

    def test_func(self):
        return not self.get_object().published

テストはビューがまだ行を取得していない段階で実行されるため、self.objectはまだ存在しません。self.get_object()は、ビューが行うのと同じ方法で、URLから行を見つけます。

チャレンジ

中級

求人を投稿したユーザーだけが、その求人を編集または削除できます。jobs/views.pyで、LoginRequiredMixinの後にUserPassesTestMixinをJobUpdateViewとJobDeleteViewに追加します。テストに合格するのは求人を投稿したユーザーだけで、それ以外のユーザーにはGETとPOSTの両方で403 Forbiddenが返されます。

grace（coddy-pass-123）としてログインし、/jobs/python-developer-brightline/edit/を開きます。この求人を投稿したのはadaなので、403 Forbiddenが表示されます。

自分で試してみよう

from django.contrib.auth.mixins import LoginRequiredMixin
from django.urls import reverse_lazy
from django.views.generic import CreateView, DeleteView, DetailView, ListView, TemplateView, UpdateView

from .models import Job


class HomeView(TemplateView):
    template_name = "jobs/home.html"

    def get_context_data(self, **kwargs):
        context = super().get_context_data(**kwargs)
        context["count"] = Job.objects.count()
        context["latest"] = Job.objects.order_by("-posted").first()
        return context


class AboutView(TemplateView):
    template_name = "jobs/about.html"


class JobListView(ListView):
    model = Job
    context_object_name = "jobs"
    ordering = ["-posted"]
    paginate_by = 5

    def get_queryset(self):
        jobs = super().get_queryset()
        city = self.request.GET.get("city")
        if city:
            jobs = jobs.filter(city=city)
        return jobs


class JobDetailView(DetailView):
    model = Job


class JobCreateView(LoginRequiredMixin, CreateView):
    model = Job
    fields = ["title", "company", "city", "salary", "description"]

    def form_valid(self, form):
        form.instance.posted_by = self.request.user
        return super().form_valid(form)


class JobUpdateView(LoginRequiredMixin, UpdateView):
    model = Job
    fields = ["title", "company", "city", "salary", "description"]


class JobDeleteView(LoginRequiredMixin, DeleteView):
    model = Job
    success_url = reverse_lazy("jobs:list")