还记得我们上一章提到过的加入页面吗?

watermark/2/text/aHR0cDovL2Jsb2cuY3Nkbi5uZXQvaGVtZW5nMTk4MA==/font/5a6L5L2T/fontsize/400/fill/I0JBQkFCMA==/dissolve/70/gravity/Center" alt="">

加入完以后我们注意一下地址栏:

表单里的数据赤裸裸的显示在了地址栏中,这时候假设我们改动一下内容

刷新,这样数据库里面就会又加入了一条数据,也就是说用户假设知道表单的结果页的连接,就能够不通过我们的表单。随意加入数据了,这样当然不是我们想要的结果。

这种结果是由于我们在表单中使用了get的方式来传递数据,这时我们应该想到採用post的方法,post比get更加安全,我们来改动一下模板页面,注意这里:

以下是表单模板Classroom_Add.html的代码:

<!DOCTYPE HTML PUBLIC "-//W3C//DTD HTML 4.01//EN">
<html>
<head>
<title>数据库操作简单表的加入</title>
</head>
<body>
<h1>这里是Classroom的加入页面</h1>
{% if error %}
<p style="color: red;">请输入班级名称和导师姓名</p>
{% endif %}
<form action="" method="post">
{% csrf_token %}
<table border="1" cellpadding="10">
<tr>
<td align="center">项目</td>
<td align="center">内容</td>
</tr>
<tr>
<td align="right">班级名称:</td>
<td><input type="text" name="name"></td>
</tr>
<tr>
<td align="right">导师姓名:</td>
<td><input type="text" name="tutor"></td>
</tr>
<tr>
<td colspan="2"><input type="submit" value="加入"></td>
</tr>
</table>
</form> </body>
</html>

把get方法改动为post后,我们当然也要改动一下视图,之前的get方法是这种:

def ClassroonAdd(request):
if 'name' in request.GET and request.GET['name'] and 'tutor' in request.GET and request.GET['tutor']:
name = request.GET['name']
tutor = request.GET['tutor']
c = ClassRoom(name=name,tutor=tutor)
c.save()
return render_to_response('person/Classroom_Add_results.html',
{'name': name})
else:
return render_to_response('person/Classroom_Add.html', {'error': True})

改动以后的pose方法是这种 :

def ClassroonAdd(request):
if request.POST.has_key('name') and request.POST.has_key('tutor') :
name = request.POST['name']
tutor = request.POST['tutor']
c = ClassRoom(name=name,tutor=tutor)
c.save() return render_to_response('person/Classroom_Add_results.html',
{'name': name},context_instance=RequestContext(request))
else:
return render_to_response('person/Classroom_Add.html', {'error': True},context_instance=RequestContext(request))

这时候我们在来測试一下:

地址栏里面的參数不见了!

我们在前一节讲的样例中另一个表单:就是改动页面。我们使用同样的方法来进行改动。改造Classroom_Modify.html模板:

<!DOCTYPE HTML PUBLIC "-//W3C//DTD HTML 4.01//EN">
<html>
<head>
<title>数据库操作简单表的改动</title>
</head>
<body>
<h1>这里是Classroom--{{name}}的改动页面</h1>
{% if error %}
<p style="color: red;">请输入班级名称和导师姓名</p>
{% endif %}
<form action="" method="post">
{% csrf_token %}
<table border="1" cellpadding="10">
<tr>
<td align="center">项目</td>
<td align="center">内容</td>
</tr>
<tr>
<td align="right">班级名称:</td>
<td><input type="text" name="name" value="{{name}}"></td>
</tr>
<tr>
<td align="right">导师姓名:</td>
<td><input type="text" name="tutor" value="{{tutor}}"></td>
</tr>
<tr>
<td colspan="2">
<input type="hidden" name="id" value="{{id}}">
<input type="submit" value="改动">
<input type="button" value="返回" onClick="location.href='../../list'">
</td>
</tr>
</table>
</form>
</body>
</html>

改动视图页面:

def ClassroonModify(request,id1):
cursor=connection.cursor()
Classroon=ClassRoom.objects.get(id=id1)
old_name = Classroon.name
old_tutor = Classroon.tutor
cursor.close() if request.POST.has_key('name') and request.POST.has_key('tutor') :
new_name = request.POST['name']
new_tutor = request.POST['tutor']
Classroon.name=new_name
Classroon.tutor=new_tutor
Classroon.save()
return render_to_response('person/Classroom_Modify_results.html',
{'old_name': old_name,'old_tutor':old_tutor,'new_name':new_name,'new_tutor':new_tutor},context_instance=RequestContext(request))
else:
return render_to_response('person/Classroom_Modify.html', {'error': True,'id':id1,'name':old_name,'tutor':old_tutor},context_instance=RequestContext(request))

完毕。这样我们就把曾经的get方法改动成了post,在一定程度上保证了表单的安全。

以下的问题就是直接訪问改动页面或者删除页面呢,如这样:

watermark/2/text/aHR0cDovL2Jsb2cuY3Nkbi5uZXQvaGVtZW5nMTk4MA==/font/5a6L5L2T/fontsize/400/fill/I0JBQkFCMA==/dissolve/70/gravity/Center" alt="">

直接在浏览当中输入地址,就能够删除和打开改动页面了。这样太危急了。全部这就要用到我们在11章 的样例http://blog.csdn.net/hemeng1980/article/details/25239713中的GetHTTP_REFERER了。只是须要注意的是一下情况:

一、可以取到HTTP_REFERER的情况为下面几种:

1.直接用<a href>

2.用Submit或<input type=image>提交的表单(POST or GET)

3.使用Jscript提交的表单(POST or GET)

二、不能取到的情况有下面几种:

1.从收藏夹链接

2.单击”主页”或者自己定义的地址

3.利用Jscript的location.href or location.replace()

4.在浏览器直接输入地址

5.<%Response.Redirect%>

6.<%Response.AddHeader%>或<meta http-equiv=refresh>转向

7.用XML载入地址

而我就犯了不能取到的第三种错误。所以我们要吧原来的button改动成为连接(A标签)。改动Classroom_List.html:

<!DOCTYPE HTML PUBLIC "-//W3C//DTD HTML 4.01//EN">
<html>
<head>
<title>数据库操作简单表的加入</title>
</head>
<body>
<h1>这里是Classroom的管理页面</h1>
<table border="1" cellpadding="10">
<tr>
<td align="center">序号</td>
<td align="center">班级名称</td>
<td align="center">导师姓名</td>
<td align="center">操作</td>
</tr>
{% for myclass in ClassroonList%}
<tr>
<td align="right">{{ myclass.id }}</td>
<td align="right">{{ myclass.name }}</td>
<td align="right">{{ myclass.tutor }}</td>
<td align="right">
<a href="../modify/{{ myclass.id }}">改动</a>
<a href="../delete/{{ myclass.id }}">删除</a> </td>
</tr>
{% endfor %}
</table>
</body>
</html>

接下来我们改动一下视图:

def ClassroonModify(request,id1):

    GetHost=request.get_host()
try:
GetHTTP_REFERER = request.META['HTTP_REFERER']
except KeyError:
GetHTTP_REFERER = 'unknown' if GetHTTP_REFERER!='unknown' and GetHTTP_REFERER.find(GetHost)>0:
cursor=connection.cursor()
Classroon=ClassRoom.objects.get(id=id1)
old_name = Classroon.name
old_tutor = Classroon.tutor
cursor.close()
if request.POST.has_key('name') and request.POST.has_key('tutor') :
new_name = request.POST['name']
new_tutor = request.POST['tutor']
Classroon.name=new_name
Classroon.tutor=new_tutor
Classroon.save()
return render_to_response('person/Classroom_Modify_results.html',
{'old_name': old_name,'old_tutor':old_tutor,'new_name':new_name,'new_tutor':new_tutor},context_instance=RequestContext(request))
else:
return render_to_response('person/Classroom_Modify.html', {'error': True,'id':id1,'name':old_name,'tutor':old_tutor},context_instance=RequestContext(request))
else:
return render_to_response('person/Error.html')

不要忘了加入一个Error.html':

<html>
<head>
<title>查询用户结果页</title>
</head>
<body>
<table border="1" cellpadding="5"><tr>
<td>非法操作</td></tr>
<tr>
<td><a href="http://127.0.0.1:8000/ClassRoom/list/">点击返回</a></td>
</tr>
</table>
</body>
</html>

依照相同的方法改动一下删除功能:

def ClassroonDelete(request,id1):

    GetHost=request.get_host()
try:
GetHTTP_REFERER = request.META['HTTP_REFERER']
except KeyError:
GetHTTP_REFERER = 'unknown' if GetHTTP_REFERER!='unknown' and GetHTTP_REFERER.find(GetHost)>0:
cursor=connection.cursor()
Classroon=ClassRoom.objects.get(id=id1)
old_name = Classroon.name
Classroon.delete()
ClassroonList=ClassRoom.objects.all()
cursor.close()
return render_to_response('person/Classroom_Delete_results.html',{'name':old_name})
else:
return render_to_response('person/Error.html')

我们做一下測试假设这时候直接输入网址:http://127.0.0.1:8000/ClassRoom/modify/48/

就会看到:

这样我们有保护了删除和改动页面的安全性。

最后另一个问题,假设加入后怎样防止刷新表单,这个功能眼下我们还没有解说到Session。先留一个伏笔把,假设对session了解的人,能够先參考这个试试 :

http://www.cnblogs.com/ken-zhang/archive/2010/12/25/1916437.html

以后我们会具体讨论这个问题的。

Python+Django+SAE系列教程14-----使表单更安全的更多相关文章

  1. Python+Django+SAE系列教程17-----authauth (认证与授权)系统1

    通过session,我们能够在多次浏览器请求中保持数据,接下来的部分就是用session来处理用户登录了. 当然,不能仅凭用户的一面之词,我们就相信,所以我们须要认证. 当然了,Django 也提供了 ...

  2. Python+Django+SAE系列教程11-----request/pose/get/表单

    表单request,post,get 首先我们来看看Request对象,在这个对象中包括了一些实用的信息,学过B/S开发的人来说这并不陌生,我们来看看在Django中是怎样实现的: 属性/方法 说明 ...

  3. Python+Django+SAE系列教程13-----MySQL记录的添\删\改

    建立了数据库后,我们就来做一个简单的表(person_classroom)的加入.删除.改动的操作. 首先我们建立一个加入的页面的模板Classroom_Add.html(加入的表单)并把它放在Bid ...

  4. Python+Django+SAE系列教程15-----输出非HTML内容(图片/PDF)

    一个Django视图函数 必须 接受一个HttpRequest 实例作为它的第一个參数 返回一个HttpResponse 实例 从一个视图返回一个非HTML 内容的关键是在构造一个 HttpRespo ...

  5. Python+Django+SAE系列教程16-----cookie&amp;session

    本章我们来解说cookie和session ,这两个东西相信大家一定不陌生,概念就不多讲了,我们直接来看其使用方法,首先是cookie,我们在view中加入三个视图,一个是显示cookie的,一个是设 ...

  6. Python+Django+SAE系列教程12-----配置MySQL数据库

    由于SAE上支持的是Mysql,首先我们要在本地配置一个Mysql的环境 ,我在网上找到MySQL-python-1.2.4b4.win32-py2.7.exe,并双击 安装 选择典型安装 安装结束后 ...

  7. Python+Django+SAE系列教程9-----Django的视图和URL

    第三.四.五章介绍的就是Django中MVC的视图.模板.模型了. 首先来看视图(view),在用Django生成的站点目录中,创建一个view.py文件,这个文件開始是空的.然后我们输入下面内容: ...

  8. Python+Django+SAE系列教程10-----Django模板

    在本章中,我们开始模板,在前面的章节,您可能已经注意到,我们回到文本的方式有点特别的示例视图. 那.HTML直接在硬编码 Python 其中代码. 这的确是一个小BT. def current_dat ...

  9. Python+Django+SAE系列教程6-----本地配置Django

    前五章.我们介绍了Python的语法,本章開始介绍Django. Python的Web框架有非常多,有Django.web2py.tornado.web.py等.我们这里选 则Django.至于这些框 ...

随机推荐

  1. Qt图片显示效率的比较 转

    转http://blog.sina.com.cn/s/blog_5c70dfc80100r257.html 在Qt中处理图片一般都要用到QImage类,但是QImage的对象不能够直接显示出来,要想能 ...

  2. TCanvas.CopyRect方法中参数CopyMode的意义

    首先看可能取值: 1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 cmBlackness = BLACKNESS; cmDstInvert = DSTINVERT; cmMer ...

  3. myeclispe启动后报错 Subclipse talks to Subversion via a Java API that requires access to native libraries.

    myeclispe 中SVN插件常遇到的异常: Subclipse talks to Subversion via a Java API that requires access to native ...

  4. 基于visual Studio2013解决面试题之0507字符串转整数

     题目

  5. Android反编译-逆天的反编译

    Jar包的反编译: Java的世界是透明的,当编译java程序的时候,是将java源文件转成.class文件,java虚拟机去执行这些字节码从而得到执行java程序的目的.那么从.class文件能不能 ...

  6. for循环遍历字符串的还有一种方法

    遍历字符c,让它各自等于字符串数组chars里面的各个字符.然后运行以下的语句,当c被赋值为chars里面全部字符各一次后.就会退出这个循环. 通常我们遍历字符串数组用 for(int i=0;i&l ...

  7. winform基础——实现简易赈灾物资发放登记系统

    using System;using System.Collections.Generic;using System.Linq;using System.Text;using System.Threa ...

  8. Selenium WebDriver ie,chrome 驱动

    在驱动ie,chrome 的时候需要下载驱动 从网上下载IEDriverServer,Chromedriver 然后需要配置下就可以驱动ie,chrome 浏览器了 selenium 驱动ie 和 c ...

  9. 被忽视的TWaver功能(1)

    应客户需求写个Demo,Demo中包括一些经常使用的功能.包括解析JSON数据生成TWaver中的网元和连线.网元右下角带上不同标识的小图标,连线须要是二次曲线.弹出菜单和信息板.跟大家分享下.先上图 ...

  10. Android四大组件--Broadcast Receiver具体解释

    本文主要讲述了: 一.BroadcastReceiver概述: 二.BroadcastReceiver事件分类 三.BroadcastReceiver事件的编程流程 四.两类BroadcastRece ...