編集できるのは所有者だけ

CoddyのDjangoジャーニー「ユーザーとアカウント」セクションの一部。レッスン 11/16。

メモのページはこれで安全になりましたが、編集ページと削除ページはまだ安全ではありません。/3/edit/ と /3/delete/ では、依然としてどのメモでも開けてしまいます。さらに悪いことに、ページを開く必要すらありません。フォームは POST リクエストであり、誰でもページを一度も見ずに /3/delete/ へ POST を送信できます。

つまり、ルールはリンク先のページごとではなく、ビューごとに適用されます。番号で行を読み込むすべてのビューが、その行を誰が読み込めるかをそこで判断します。GET と POST の両方を処理するビューで、検索処理がどこにあるかを見てみましょう。

def ticket_close(request, pk):
    ticket = ...  # 検索処理: リクエストごとに実行される
    if request.method == "POST":
        ticket.closed = True
        ticket.save()
        return redirect("tickets:list")
    return render(request, "tickets/close.html", {"ticket": ticket})

最初の行は if request.method == "POST" の分岐より前に実行されます。そこで見知らぬ人を拒否する検索処理を行えば、GET と POST のどちらに対しても 404 を返し、何も変更されません。

チャレンジ

簡単

notes/views.pyで、note_editとnote_deleteが自分のものではないノートを拒否するようにしてください。他のユーザーのノートに対しては、GETとPOSTのどちらでも404を返し、ノートは変更されないままにします。自分のノートは引き続き編集および削除できます。

「Run」を押し、bob（パスワードはcoddy-pass-123）でログインして、/1/edit/を開きます。

自分で試してみよう

from django.contrib.auth import login
from django.contrib.auth.decorators import login_not_required
from django.contrib.auth.forms import UserCreationForm
from django.shortcuts import get_object_or_404, redirect, render

from .forms import NoteForm
from .models import Note


def note_list(request):
    notes = Note.objects.filter(owner=request.user)
    return render(request, "notes/note_list.html", {"notes": notes})


def note_detail(request, pk):
    note = get_object_or_404(Note, pk=pk, owner=request.user)
    return render(request, "notes/note_detail.html", {"note": note})


def note_create(request):
    if request.method == "POST":
        form = NoteForm(request.POST)
        if form.is_valid():
            note = form.save(commit=False)
            note.owner = request.user
            note.save()
            return redirect("notes:detail", pk=note.pk)
    else:
        form = NoteForm()
    return render(request, "notes/note_form.html", {"form": form})


def note_edit(request, pk):
    note = get_object_or_404(Note, pk=pk)
    if request.method == "POST":
        form = NoteForm(request.POST, instance=note)
        if form.is_valid():
            form.save()
            return redirect("notes:detail", pk=note.pk)
    else:
        form = NoteForm(instance=note)
    return render(request, "notes/note_form.html", {"form": form, "note": note})


def note_delete(request, pk):
    note = get_object_or_404(Note, pk=pk)
    if request.method == "POST":
        note.delete()
        return redirect("notes:list")
    return render(request, "notes/note_confirm_delete.html", {"note": note})


@login_not_required
def signup(request):
    if request.method == "POST":
        form = UserCreationForm(request.POST)
        if form.is_valid():
            user = form.save()
            login(request, user)
            return redirect("notes:list")
    else:
        form = UserCreationForm()
    return render(request, "notes/signup.html", {"form": form})