0

現在、ブログ投稿アプリケーションの実装をしているところでして、
テンプレートにカスタムユーザのPKを直接渡してDBに登録させる仕様になっています。

◆Viewより抜粋

def get_context_data(self, **kwargs):
    context = super().get_context_data(**kwargs)
    context['user_pk'] = self.request.user.pk
    return context

◆テンプレートより抜粋

<div class="form-group col-md-11">
    <label for="id_author">著者</label>
    <input type="hidden" name="{{ form.author.name }}" id="{{ form.author.id_for_label }}" value="{{ user_pk }}" >
</div>

そこで、hiddenでフォームは表示させておりませんが、devtoolsでは当然のことながら参照ができてしまいます。
ですので、もし他ユーザのPKを取得された場合、投稿ユーザの改ざんが可能になってしまいます。

セキュアな部分ですので、可能ならソース側のみで完結させたいのですが、その場合どう実装したらよいでしょうか?

2 件の回答 2

0

pkの意味が具体的にわからないのでプライマリーキーと捉えて回答してみます。

まず、プライマリーキーについて。
データーベースで使われる単語です。django-girlsやいくつかのブログではidという意味でpkが使われています。この意味で取るとuser_pkはuser_idと同義になります。

この場合、質問者さんの言う「他ユーザのPKを取得される」状況は十分起こりうります。その人のブログを読んだら、user_idを見ることでなりすましが可能なので、セキュリティに問題があるということになります。こうなると認証機能を実装する必要があります。

どのように認証を実装するか。
今じゃ見ませんが、簡単なモデルとしてBasic認証が挙げられます。ユーザー名とパスワードの組み合わせを使って、その人しか知らない情報で認証します。(httpという盗聴可能な通信をするため現在では使われませんが、)ユーザー名とパスワードの組み合わせで認証するというのはどのサイトでも見ますね。

ただ毎回パスワードを入力するのも面倒であったり、のぞき見されるリスクが増えます。ですので、アクセストークンを使うやり方が考えれます。一度、パスワードで認証した人に誰にもわからない秘密鍵のようなものを渡します。以降これで認証が可能です。必要があれば、有効期限を決めて再発行したりします。(サイトによっていろいろ違うみたいです)

0

自己解決しました。

フォーム定義

class BlogForm(forms.ModelForm):
    class Meta:
        model = Blog
        # 'author'はここで処理しない
        fields = ('title', 'text', 'category')

ビュー内定義

class ScriptCreateView(generic.CreateView):
    model = Blog
    form_class = BlogForm
    template_name = 'creator/blog_create_form.html'
    success_url = reverse_lazy('Blog:home')

    def form_valid(self, form):
        # データベースに保存する前のモデルオブジェクトを変数に格納
        blog = form.save(commit=False)
        # ※ここでログインユーザ情報を渡す
        blog.author = self.request.user
        blog.save()
        # スーパーメソッドを呼び出しバリデーション(form.is_valid)を行う
        return super().form_valid(form)

以上の処理で、投稿フォームにユーザ(PK)情報を含めずにDB登録できるようになりました。

ご回答していただいた方、ありがとうございます。

この質問に回答するには、ログインする必要があります。

求めていた回答ではありませんか? のタグが付いた他の質問を参照する。