我有一個 Web 應用程序，用戶可以在其中登錄并開始輸入ToDoList. 在base.html被包裝在一個is_authenticated檢查，以便用戶無法看到任何東西的應用，直到他們已經登錄我在做一些測試用：登錄為 User2添加一個新的 ToDoListItem重定向到 DetailView在這種情況下，URL = http://localhost:8000/to_do_list/to_do_item/72此時我意識到的DetailView將允許User2看到任何細節ToDoListItem的User1只是通過輸入現有pk分為：http://localhost:8000/to_do_list/to_do_item/<int:pk>。urls.py 包括path('to_do_item/<int:pk>', views.ToDoListItemDetail.as_view(), name='todo-item-detail'),視圖.pyclass ToDoListItemDetail(DetailView): model = ToDoListItemtodolistitem_detail.html{% extends 'base.html' %}{% block content %}<a href="/">Home</a> <h1>DetailView for 'ToDoListItem' model</h1> <p>TaskTitle: '{{ object.title }}'</p> <p>Complete: '{{ object.is_complete }}'</p> <p>User: '{{ object.user}}'</p> {% endblock %}防止這種情況發生的推薦方法是什么？我正在考慮以下幾點：我可以完全刪除 DetailView 并定向到僅返回用戶數據的不同 URL（使用類似ToDoListItem.objects.filter(user=request.user)）我可以檢查登錄用戶的名稱是否與擁有ToDoListItem.我可以覆蓋get_context_data()DetailView 并在那里檢查用戶所有權（類似于 1，但在 DetailView 中）？？？（還有比上面更好的東西，我還不知道）有沒有辦法限制用戶在整個應用程序中只能看到他們自己的數據，而無需在每次需要時實現此邏輯？
2 回答
qq_遁去的一_1
TA貢獻1725條經驗 獲得超8個贊
可以過濾在DetailView為好，通過重寫get_queryset方法[Django的DOC] ：
from django.contrib.auth.mixins import LoginRequiredMixin
class ToDoListItemDetail(LoginRequiredMixin, DetailView):
model = ToDoListItem
def get_queryset(self, *args, **kwargs):
return super(ToDoListItemDetail, self).get_queryset(
*args, **kwargs
).filter(user=self.request.user)
Django 總是會在幕后調用get_queryset(..). 默認情況下，此函數返回model您指定的所有對象的查詢集。但是你可以進一步過濾它。
Django 的get_object方法 [Django-doc]然后將使用idand/or進一步過濾它slug，但是如果您已經過濾掉了不屬于 的元素self.request.user，那么這只會導致查詢不返回任何結果。
在這里將LoginRequiredMixin[Django-doc]添加到您的類中也是有意義的，因為如果用戶沒有登錄，您可能希望將下擺/她重定向到登錄屏幕。
添加回答
舉報
0/150
提交
取消