投稿者だけが編集できる

CoddyのDjangoジャーニー「クラスベースビュー」セクションの一部。レッスン 16/18。

graceとしてログインし、/jobs/python-developer-brightline/edit/を開きます。その求人を投稿したのはadaで、graceは編集できます。求人ページでは投稿者にだけEditが表示されますが、誰でもURLを直接入力したりPOSTを送信したりできるため、ビュー自体で拒否しなければなりません。

UserPassesTestMixinは、ビューの実行前に、あなたが書いたメソッドtest_func()を呼び出します。Trueならリクエストを通します。Falseなら、ログイン済みユーザーに対してGETでもPOSTでも403 Forbiddenを返します。レシピサイトで、公開済みのレシピを誰も変更できないようにする例です。

class RecipeUpdateView(LoginRequiredMixin, UserPassesTestMixin, UpdateView):
    model = Recipe
    fields = ["title", "minutes"]

    def test_func(self):
        return not self.get_object().published

テストはビューが行を取得する前に実行されるため、self.objectはまだ存在しません。self.get_object()は、ビューが取得するのと同じ方法で、URLから行を見つけます。

チャレンジ

中級

求人を編集または削除できるのは、投稿者だけです。

LoginRequiredMixinの後に、JobUpdateViewとJobDeleteViewへUserPassesTestMixinを追加します。
求人を投稿したユーザーの場合のみテストに合格します。それ以外のユーザーは、GETとPOSTの両方で403 Forbiddenを受け取ります。

「Run」を押し、graceとしてログインして、上記の編集ページを開きます。

自分で試してみよう

from django.contrib.auth.mixins import LoginRequiredMixin
from django.urls import reverse_lazy
from django.views.generic import CreateView, DeleteView, DetailView, ListView, TemplateView, UpdateView

from .models import Job


class HomeView(TemplateView):
    template_name = "jobs/home.html"

    def get_context_data(self, **kwargs):
        context = super().get_context_data(**kwargs)
        context["count"] = Job.objects.count()
        context["latest"] = Job.objects.order_by("-posted").first()
        return context


class AboutView(TemplateView):
    template_name = "jobs/about.html"


class JobListView(ListView):
    model = Job
    context_object_name = "jobs"
    ordering = ["-posted"]
    paginate_by = 5

    def get_queryset(self):
        jobs = super().get_queryset()
        city = self.request.GET.get("city")
        if city:
            jobs = jobs.filter(city=city)
        return jobs


class JobDetailView(DetailView):
    model = Job


class JobCreateView(LoginRequiredMixin, CreateView):
    model = Job
    fields = ["title", "company", "city", "salary", "description"]

    def form_valid(self, form):
        form.instance.posted_by = self.request.user
        return super().form_valid(form)


class JobUpdateView(LoginRequiredMixin, UpdateView):
    model = Job
    fields = ["title", "company", "city", "salary", "description"]


class JobDeleteView(LoginRequiredMixin, DeleteView):
    model = Job
    success_url = reverse_lazy("jobs:list")