Редактирует только владелец

Часть раздела Пользователи и учетные записи путешествия по Django на Coddy. Урок 11 из 16.

Страница заметки теперь защищена, но страницы её редактирования и удаления — нет: /3/edit/ и /3/delete/ по-прежнему открывают любую заметку. Хуже того, открывать их вообще не обязательно. Форма отправляет POST-запрос, и любой может отправить POST на /3/delete/, даже ни разу не просмотрев эту страницу.

Значит, правило действует для каждого представления, а не для страницы, на которую вы ссылаетесь: каждое представление, которое загружает строку по её номеру, само решает, кому разрешено её загрузить. Посмотрите, где находится поиск в представлении, которое обрабатывает и GET, и POST:

def ticket_close(request, pk):
    ticket = ...  # поиск: выполняется для каждого запроса
    if request.method == "POST":
        ticket.closed = True
        ticket.save()
        return redirect("tickets:list")
    return render(request, "tickets/close.html", {"ticket": ticket})

Первая строка выполняется до ветки if request.method == "POST". Если при поиске также проверяется владелец, посторонний получит ошибку 404 и для GET, и для POST, и ничего не изменится.

Задание

Легко

В notes/views.py сделай так, чтобы note_edit и note_delete отклоняли запросы к заметкам, которые принадлежат не текущему пользователю. При обращении к заметке другого пользователя сервер отвечает ошибкой 404 как на GET-, так и на POST-запрос, и заметка остаётся без изменений. Свои заметки по-прежнему можно редактировать и удалять.

Войди как bob (пароль coddy-pass-123) и открой /1/edit/: страница 404, не найдено.

Попробуйте сами

from django.contrib.auth import login
from django.contrib.auth.decorators import login_not_required
from django.contrib.auth.forms import UserCreationForm
from django.shortcuts import get_object_or_404, redirect, render

from .forms import NoteForm
from .models import Note


def note_list(request):
    notes = Note.objects.filter(owner=request.user)
    return render(request, "notes/note_list.html", {"notes": notes})


def note_detail(request, pk):
    note = get_object_or_404(Note, pk=pk, owner=request.user)
    return render(request, "notes/note_detail.html", {"note": note})


def note_create(request):
    if request.method == "POST":
        form = NoteForm(request.POST)
        if form.is_valid():
            note = form.save(commit=False)
            note.owner = request.user
            note.save()
            return redirect("notes:detail", pk=note.pk)
    else:
        form = NoteForm()
    return render(request, "notes/note_form.html", {"form": form})


def note_edit(request, pk):
    note = get_object_or_404(Note, pk=pk)
    if request.method == "POST":
        form = NoteForm(request.POST, instance=note)
        if form.is_valid():
            form.save()
            return redirect("notes:detail", pk=note.pk)
    else:
        form = NoteForm(instance=note)
    return render(request, "notes/note_form.html", {"form": form, "note": note})


def note_delete(request, pk):
    note = get_object_or_404(Note, pk=pk)
    if request.method == "POST":
        note.delete()
        return redirect("notes:list")
    return render(request, "notes/note_confirm_delete.html", {"note": note})


@login_not_required
def signup(request):
    if request.method == "POST":
        form = UserCreationForm(request.POST)
        if form.is_valid():
            user = form.save()
            login(request, user)
            return redirect("notes:list")
    else:
        form = UserCreationForm()
    return render(request, "notes/signup.html", {"form": form})