Редактирует только владелец

Часть раздела Пользователи и учетные записи путешествия по Django на Coddy. Урок 11 из 16.

Теперь страница заметки защищена, но страницы её редактирования и удаления — нет: /3/edit/ и /3/delete/ по-прежнему открывают любую заметку. Хуже того, их вообще не нужно открывать. Форма отправляет POST-запрос, и любой может отправить POST-запрос на /3/delete/, даже ни разу не увидев страницу.

Значит, правило применяется к каждому представлению, а не к каждой странице, на которую вы ставите ссылку: каждое представление, загружающее строку по её номеру, само решает, кто может её загрузить. Посмотрите, где находится поиск в представлении, которое обрабатывает и GET, и POST:

def ticket_close(request, pk):
    ticket = ...  # поиск: выполняется при каждом запросе
    if request.method == "POST":
        ticket.closed = True
        ticket.save()
        return redirect("tickets:list")
    return render(request, "tickets/close.html", {"ticket": ticket})

Первая строка выполняется до ветви if request.method == "POST". Если поиск в этой строке отказывает посторонним, он возвращает им 404 и для GET, и для POST, и ничего не меняется.

Задание

Легко

В notes/views.py сделайте так, чтобы note_edit и note_delete отклоняли запросы к чужим заметкам. При обращении к заметке другого пользователя возвращается ошибка 404 как для GET, так и для POST, и заметка остаётся без изменений. Свои заметки по-прежнему можно редактировать и удалять.

Нажмите Run, войдите как bob (пароль coddy-pass-123) и откройте /1/edit/.

Попробуйте сами

from django.contrib.auth import login
from django.contrib.auth.decorators import login_not_required
from django.contrib.auth.forms import UserCreationForm
from django.shortcuts import get_object_or_404, redirect, render

from .forms import NoteForm
from .models import Note


def note_list(request):
    notes = Note.objects.filter(owner=request.user)
    return render(request, "notes/note_list.html", {"notes": notes})


def note_detail(request, pk):
    note = get_object_or_404(Note, pk=pk, owner=request.user)
    return render(request, "notes/note_detail.html", {"note": note})


def note_create(request):
    if request.method == "POST":
        form = NoteForm(request.POST)
        if form.is_valid():
            note = form.save(commit=False)
            note.owner = request.user
            note.save()
            return redirect("notes:detail", pk=note.pk)
    else:
        form = NoteForm()
    return render(request, "notes/note_form.html", {"form": form})


def note_edit(request, pk):
    note = get_object_or_404(Note, pk=pk)
    if request.method == "POST":
        form = NoteForm(request.POST, instance=note)
        if form.is_valid():
            form.save()
            return redirect("notes:detail", pk=note.pk)
    else:
        form = NoteForm(instance=note)
    return render(request, "notes/note_form.html", {"form": form, "note": note})


def note_delete(request, pk):
    note = get_object_or_404(Note, pk=pk)
    if request.method == "POST":
        note.delete()
        return redirect("notes:list")
    return render(request, "notes/note_confirm_delete.html", {"note": note})


@login_not_required
def signup(request):
    if request.method == "POST":
        form = UserCreationForm(request.POST)
        if form.is_valid():
            user = form.save()
            login(request, user)
            return redirect("notes:list")
    else:
        form = UserCreationForm()
    return render(request, "notes/signup.html", {"form": form})