python之UserCreationForm Django

我正在尝试创建注册表单，但我注意到当我使用 UserCreationForm 呈现 {{ form.as_p }} 时，为用户显示了所有可能的字段。现在有些字段，我希望只有管理员可以访问。

所以，我知道您可以通过fields=(f1,f2...)

但是恶意用户是否仍然能够手动提交带有“ secret ”字段的 POST 请求，即使它们在技术上并未显示在表单中？

我知道如何解决这个问题的唯一方法是手动验证每个字段并自己构建模型对象以确保用户不会触及这些“ secret ”字段。怎么样，这似乎违背了使用 UserCreationForm 的目的。对此有更好的方法吗？

作为引用，当我的意思是破坏 UserCreationField 的目的时，我将无法安全地使用 user = super(UserCreationForm,self).save(commit=True) 吗？

请您参考如下方法:

如果表单不知道该字段存在(即它不在其元类的 fields 列表中)，则它不会在提交的字段中查找它的值数据。因此，您可以完全安全地保存表单中的数据。

例如，假设我们有以下模型:

from django.db import models 
 
class Person(models.Model): 
    name = models.CharField(max_length=100) 
    age = models.PositiveIntegerField(blank=True, null=True) 
    hobbies = models.CharField(max_length=200, blank=True, null=True) 

然后我们可以写一个LimitedCreateForm，它只获取名字和爱好，不设置年龄。出于测试目的，我们可以在 View 中使用此表单，该 View 将提交的数据和相应的创建人员转储回浏览器以进行调试:

from django.shortcuts import render 
from django import forms 
 
from testapp.models import Person 
 
class LimitedCreateForm(forms.ModelForm): 
    class Meta: 
        model = Person 
        fields = ('name', 'hobbies') 
 
def create_limited(request): 
    submitted = "" 
    new_user = None 
 
    if request.method == 'POST': 
        submitted = str(request.POST) 
        form = LimitedCreateForm(request.POST) 
        if form.is_valid(): 
            new_user = form.save() 
 
    else: 
        form = LimitedCreateForm() 
 
    data = { 
        'form': form, 
        'submitted': submitted, 
        'new_user': new_user, 
    } 
 
    return render(request, 'create_limited.html', data) 

测试的最后一步是创建一个显示调试数据(来自表单的 POST 数据和创建的相应人员)的模板，并创建一个带有年龄字段的“恶意”表单:

<html> 
 
<body> 
 
<h1> 
Submitted data: 
</h1> 
 
<p> 
{{ submitted|default:"Nothing submitted" }} 
</p> 
 
<h1> 
Created user 
</h1> 
 
<p> 
Name: {{ new_user.name|default:"Nothing" }} 
<br /> 
Age: {{ new_user.age|default:"Nothing" }} 
<br /> 
Hobbies: {{ new_user.hobbies|default:"Nothing" }} 
</p> 
 
<h1> 
Form 
</h1> 
 
<form method="post"> 
    {% csrf_token %} 
    Name: <input type="text" name="name" id="id_name"> 
    <br /> 
    Age: <input type="text" name="age" id="id_age"> 
    <br /> 
    Hobbies: <input type="text" name="hobbies" id="id_hobbies"> 
    <br /> 
    <input type="submit" value="Create" /> 
</form> 
 
</body> 
 
</html> 

如果我们随后运行它并提交一些值，我们将得到以下调试输出:

提交的数据:

<QueryDict:  
{u'age': [u'27'],  
u'csrfmiddlewaretoken': [u'ed576dd024e98b4c1f99d29c64052c15'],  
u'name': [u'Bruce'],  
u'hobbies': [u'Dancing through fields of flowers']}>` 

创建用户

Name: Bruce  
Age: Nothing  
Hobbies: Dancing through fields of flowers 

这表明表单忽略了提交的 27 岁年龄，只保存了被告知的字段。

值得注意的是，如果您指定要排除的字段列表(即 exclude = ('age',) 而不是 fields = ('name ', '爱好') 在表单元类中)。