在 Django 中隐藏当前用户未创建的条目的更好方法？

Question

我对 Django 很陌生，现在我创建了一个网站，允许用户注册/登录，通过条目数据库中的“用户”字段创建与该用户关联的条目。

通过添加仅返回当前用户条目的get_queryset() 方法，我设法获得了隐藏其他用户条目的所有功能。

但我觉得这是一种不好的做法。 我觉得我重用了很多代码，并且可能有后门来显示其他用户的条目。

有没有办法完全禁用当前用户的其他用户条目，而不仅仅是不显示它？

views.py

class EntryListView(LockedView, ListView):
    model = Entry

    def get_queryset(self):
        return super().get_queryset().filter(user=self.request.user).order_by("-date_created")

class EntryDetailView(LockedView, DetailView):
    model = Entry

    def get_queryset(self):
        return super().get_queryset().filter(user=self.request.user)

class EntryCreateView(LockedView, SuccessMessageMixin, CreateView):
    model = Entry
    fields = ["title", "content"]
    success_url = reverse_lazy("entry-list")
    success_message = "Your new entry was created!"

    def form_valid(self, form):
         user = self.request.user
         form.instance.user = user
         return super(EntryCreateView, self).form_valid(form)
    
    def get_queryset(self):
        return super().get_queryset().filter(user=self.request.user)

class EntryUpdateView(LockedView, SuccessMessageMixin, UpdateView):
    model = Entry
    fields = ["title", "content"]
    success_message = "Your entry was updated!"

    def get_success_url(self):
        return reverse_lazy(
            "entry-detail",
            kwargs={"pk": self.object.pk}
        )

    def get_queryset(self):
        return super().get_queryset().filter(user=self.request.user)

Answer 1

Create、Detail 和 Update 视图指的是单个条目（并且与该条目的关系由 url kwarg （可以是通用的 'pk' 或 'slug' 等），所以这 3 个视图中的 get_queryset 不是确实有帮助。

如果您在浏览器中打开一个条目，您将看到该 url 类似于 /entry/ 所以如果您更改该值，您将访问不同的对象。如果你想阻止用户访问不属于他们的条目，你可以像这样创建一些 mixin：

class EntryMixin:
"""
Prevent users to access entries that has different author
"""
def dispatch(self, request, *args, **kwargs):
    if not self.get_object().user == request.user:
        raise PermissionError
    return super().dispatch(request, *args, **kwargs)

这里发生的情况是每次用户访问某个视图时，它会检查他是否被分配给该对象（请注意，此 mixin 仅适用于单个对象视图（详细信息、更新、删除），因为列表需要修改。

Answer 2

为Entry 模型创建一个序列化程序并提供您要显示的字段。将用户字段设为只读，以便。

serializers.py

from rest_framework import serializers

class EntriesSerializer(serializers.ModelSerializer):
    class Meta:
        model = Entry
        fields = '__all__'
        extra_kwargs = {
            'user': {'read_only': True}
        }

然后为可以轻松执行 crud 操作的条目创建一个 Viewset。覆盖get_queryset 方法以获取当前用户记录。同时覆盖perform_create 方法以在创建新记录时将当前用户提供为entry'e 用户。

views.py

from rest_framework import viewsets, mixins
from .serializers import EntriesSerializer

class EntriesViewSet(
        mixins.CreateModelMixin,
        mixins.ListModelMixin,
        mixins.RetrieveModelMixin,
        mixins.DestroyModelMixin,
        mixins.UpdateModelMixin,
        viewsets.GenericViewSet
    ):
    serializer_class = EntriesSerializer

    def get_queryset(self):
        queryset = Entry.objects.filter(user=self.request.user)
        return queryset

    def perform_create(self, serializer):
        serializer.save(user=self.request.user)

为视图集创建一个路由器并将视图集注册到路由器。然后在 urlpatterns 中包含路由器的 url。

urls.py

from django.urls import path, include
from rest_framework.routers import DefaultRouter
from . import views

router = DefaultRouter()
router.register('entries', EntriesViewSet, basename='entries')

urlpatterns = [
    path('', include(router.urls)),
]

现在您可以通过/entries/ 访问当前用户创建的所有条目的列表，并使用/entries/<entry_id>/ 获取单个条目的详细信息。