我正在构建一个使用 Django 模板/动态页面的社交网站(没有 SPA 技术)。 我有一些检查用户新闻提要或新消息的 ajax 调用。 这些外观的 GET Web 请求示例如下:
GET /feeds/check/?last_feed=3&feed_source=all&_=1500749662203 HTTP/1.1
这是我在 View 中接收它的方式:
@login_required
@ajax_required
def check(request):
last_feed = request.GET.get('last_feed')
feeds = Feed.get_feeds_after(last_feed)
一切正常,但我想保护它,以便当恶意用户将 GET 参数设置为 last_feed="123malicious4556"时函数 get_feeds_after 不会崩溃。目前它崩溃是因为在 Feed 模型中该函数执行此操作:
@staticmethod
def get_feeds_after(feed):
feeds = Feed.objects.filter(parent=None, id__gt=float(feed))
return feeds
并因错误而崩溃:
ValueError at /feeds/check/
invalid literal for float(): 2fff2
我目前通过直接对 GET 变量执行检查并处理 int() 转换的异常来解决此问题:
def check(request):
last_feed = request.GET.get('last_feed')
try:
feed_source = int(request.GET.get('last_feed'))
except ValueError:
return HttpResponse(0)
我的问题是 django 推荐的解决这个问题的最佳方法是什么? 我知道 django 有特殊的支持表单验证。但这在这里似乎不太正确,因为 GET 调用更像是一个 API 而不是表单,因此为这些 GET 参数定义表单似乎不是一个好主意。
谢谢
最佳答案
您真正需要的只是为您完成所有基本验证的表单域。 如果您需要自定义验证,您可以编写自己的验证器或更好地编写您自己的自定义表单字段。
要在没有表单的情况下单独使用该字段,您可以这样做,例如:
evalType = forms.CharField().clean(request.GET.get('eval-type'))
因为这样调用不太人性化我更喜欢写一个函数来处理它:
def cleanParam(params, paramName, FieldType, *args, **kwargs):
field = FieldType(*args, **kwargs)
cleaned = field.clean(params.get(paramName))
return cleaned
我们这样使用:
evalType = cleanParam(request.GET, 'eval-type', forms.CharField)
这将为您节省一个表单类。但是我不认为为此创建一个 django 表单是非常难看的。这个问题有点过分,但恕我直言,不要太担心。
使用表单的好处是您可以在 api 调用中声明您期望的字段,并且可以一次检查所有字段,然后查看 is_valid()
的结果。
希望对您有所帮助。
关于python - 在 Django 中验证 GET 参数的正确方法,我们在Stack Overflow上找到一个类似的问题: https://stackoverflow.com/questions/45258208/