編集できるのは所有者だけ

CoddyのDjangoジャーニー「ユーザーとアカウント」セクションの一部。レッスン 11/16。

メモのページはこれで安全になりましたが、編集ページと削除ページはまだ安全ではありません。/3/edit/ と /3/delete/ では、今もどのメモでも開けてしまいます。さらに悪いことに、ページを開く必要すらありません。フォームは POST リクエストなので、誰でもページを見ずに /3/delete/ へ POST を送信できます。

つまり、ルールはリンク先のページごとではなく、ビューごとに適用されます。番号を使って行を読み込むすべてのビューで、誰がその行を読み込めるかを判断します。GET と POST の両方を処理するビューで、検索処理がどこにあるか見てみましょう。

def ticket_close(request, pk):
    ticket = ...  # 検索処理: リクエストごとに実行される
    if request.method == "POST":
        ticket.closed = True
        ticket.save()
        return redirect("tickets:list")
    return render(request, "tickets/close.html", {"ticket": ticket})

最初の行は、if request.method == "POST" の分岐より前に実行されます。その検索処理で所有者も確認するなら、他人には GET と POST のどちらも 404 が返され、何も変更されません。

チャレンジ

簡単

notes/views.pyで、note_editとnote_deleteが他のユーザーのメモを拒否するようにしてください。他のユーザーのメモに対しては、GETでもPOSTでも404を返し、そのままの状態を保ちます。自分のメモは引き続き編集・削除できます。

bob（パスワードはcoddy-pass-123）でログインし、/1/edit/を開きます: 404 ページが見つかりません。

自分で試してみよう

from django.contrib.auth import login
from django.contrib.auth.decorators import login_not_required
from django.contrib.auth.forms import UserCreationForm
from django.shortcuts import get_object_or_404, redirect, render

from .forms import NoteForm
from .models import Note


def note_list(request):
    notes = Note.objects.filter(owner=request.user)
    return render(request, "notes/note_list.html", {"notes": notes})


def note_detail(request, pk):
    note = get_object_or_404(Note, pk=pk, owner=request.user)
    return render(request, "notes/note_detail.html", {"note": note})


def note_create(request):
    if request.method == "POST":
        form = NoteForm(request.POST)
        if form.is_valid():
            note = form.save(commit=False)
            note.owner = request.user
            note.save()
            return redirect("notes:detail", pk=note.pk)
    else:
        form = NoteForm()
    return render(request, "notes/note_form.html", {"form": form})


def note_edit(request, pk):
    note = get_object_or_404(Note, pk=pk)
    if request.method == "POST":
        form = NoteForm(request.POST, instance=note)
        if form.is_valid():
            form.save()
            return redirect("notes:detail", pk=note.pk)
    else:
        form = NoteForm(instance=note)
    return render(request, "notes/note_form.html", {"form": form, "note": note})


def note_delete(request, pk):
    note = get_object_or_404(Note, pk=pk)
    if request.method == "POST":
        note.delete()
        return redirect("notes:list")
    return render(request, "notes/note_confirm_delete.html", {"note": note})


@login_not_required
def signup(request):
    if request.method == "POST":
        form = UserCreationForm(request.POST)
        if form.is_valid():
            user = form.save()
            login(request, user)
            return redirect("notes:list")
    else:
        form = UserCreationForm()
    return render(request, "notes/signup.html", {"form": form})