别人的笔记

本课属于 Coddy Django 学习旅程的“用户和账户”单元。第 10 课，共 16 课。

列表会隐藏其他人的笔记，但笔记页面不会。笔记的编号依次是 /1/、/2/、/3/，所以任何人都可以试下一个编号并读取笔记。只隐藏列表中的链接还不够：每个页面都必须进行检查。

get_object_or_404() 接受与 filter() 相同的查询条件，数量不限，并且只有在所有条件都匹配时才会找到一行记录。商店页面只显示仍处于未关闭状态的订单：

order = get_object_or_404(Order, pk=pk, status="open")

如果订单已关闭，这里会返回 404 页面未找到，与订单编号不存在时的情况相同。对于私有记录，这是有意为之：403 禁止访问会让陌生人知道这条记录确实存在。

改用 Order.objects.get() 会引发 DoesNotExist，访客会收到 500 服务器错误，也就是程序崩溃。

挑战

简单

在 note_detail 中，只向笔记所有者显示笔记。如果笔记属于其他人，或者该编号不存在，页面会返回 404。

以 bob 的身份登录（密码为 coddy-pass-123），然后打开 /1/，这是 ada 的一篇笔记：找不到 404 页面。

亲手试试

from django.contrib.auth import login
from django.contrib.auth.decorators import login_not_required
from django.contrib.auth.forms import UserCreationForm
from django.shortcuts import get_object_or_404, redirect, render

from .forms import NoteForm
from .models import Note


def note_list(request):
    notes = Note.objects.filter(owner=request.user)
    return render(request, "notes/note_list.html", {"notes": notes})


def note_detail(request, pk):
    note = get_object_or_404(Note, pk=pk)
    return render(request, "notes/note_detail.html", {"note": note})


def note_create(request):
    if request.method == "POST":
        form = NoteForm(request.POST)
        if form.is_valid():
            note = form.save(commit=False)
            note.owner = request.user
            note.save()
            return redirect("notes:detail", pk=note.pk)
    else:
        form = NoteForm()
    return render(request, "notes/note_form.html", {"form": form})


def note_edit(request, pk):
    note = get_object_or_404(Note, pk=pk)
    if request.method == "POST":
        form = NoteForm(request.POST, instance=note)
        if form.is_valid():
            form.save()
            return redirect("notes:detail", pk=note.pk)
    else:
        form = NoteForm(instance=note)
    return render(request, "notes/note_form.html", {"form": form, "note": note})


def note_delete(request, pk):
    note = get_object_or_404(Note, pk=pk)
    if request.method == "POST":
        note.delete()
        return redirect("notes:list")
    return render(request, "notes/note_confirm_delete.html", {"note": note})


@login_not_required
def signup(request):
    if request.method == "POST":
        form = UserCreationForm(request.POST)
        if form.is_valid():
            user = form.save()
            login(request, user)
            return redirect("notes:list")
    else:
        form = UserCreationForm()
    return render(request, "notes/signup.html", {"form": form})