ユーザーのアクセス権限を付けたいです

Question

ユーザーのアクセス権限を制限させたいです

現在、簡易的な投稿サイトを作っており、投稿した本人だけしか編集できないようにしたいのですが、
こちらの回答者様がおっしゃるように、リンクに直入力されてしまうと、他のユーザーでも編集ができてしまいます。
投稿した本人だけが編集できるようにするにはどうすれば良いでしょうか。
このような場合は、updateviewをクラスにした方がいいのでしょうか？
それとも関数はそのままで、何かを加えれば制限をかけられるのでしょうか？
具体的なアドバイスをいただきたいです。よろしくお願いいたします。

class OnlyYouMixin(UserPassesTestMixin):
    """本人か、スーパーユーザーだけユーザーページアクセスを許可する"""
    raise_exception = True

    def test_func(self):
        user = self.request.user
        return user.user_name == self.kwargs['user_name'] or user.is_superuser



class UserUpdate(OnlyYouMixin, generic.UpdateView):
    """ユーザー情報更新ページ"""
    model = User
    form_class = UserUpdateForm
    template_name = 'app/user_form.html'  # デフォルトユーザーを使う場合に備え、きちんとtemplate名を書く
    slug_field = 'user_name'
    slug_url_kwarg = 'user_name'
    def get_success_url(self):
        return reverse_lazy('app:user_detail', kwargs={'user_name': self.object.user_name})


def update_post(request, pk):
    post = get_object_or_404(Item, pk=pk)
    form    = PostForm(request.POST or None, files=request.FILES or None, instance=post)
    formset = Formset(request.POST or None, request.FILES or None, instance=post)
    is_valid = formset.is_valid()
    
    if request.method == 'POST' and formset.is_valid():
        form.save()
        formset.save()
        return redirect('app:top')

    context = {
        'formset': formset,
        'form': form
    }

    return render(request, 'app/item_update.html', context)

class ItemDeleteView(LoginRequiredMixin, DeleteView):
    model = Item
    success_url = reverse_lazy('app:top')

    def dispatch(self, request, *args, **kwargs):
        obj = self.get_object()
        if obj.post_user != self.request.user:
            raise Http404("You are not allowed to edit this Post")
        return super(ItemDeleteView, self).dispatch(request, *args, **kwargs)

    def delete(self, request, *args, **kwargs):
        result = super().delete(request, *args, **kwargs)
        messages.error(self.request, '削除しました'.format(self.object)) # 追加
        return result

ちなみに他の権限が必要なページ(削除ページ、マイぺージ編集)はクラスで作っているため権限の制限ができています。
編集ページだけは、自分で関数を作ったので権限の制限方法が解りません。
必要なものがあれば追記いたします。よろしくお願いいたします。

Answer 1

Itemモデルが分からないので、

class Item(・・・):
    user = models.ForeignKey(User, ・・・)
    content = models.TextField(・・・)
```こんなモデルを想像しました。
そして、
```Python
def update_post(request, pk):
    post = get_object_or_404(Item, pk=pk, user=request.ser)
    form = PostForm(request.POST or None, files=request.FILES or None, instance=post)
    formset = Formset(request.POST or None, request.FILES or None, instance=post)
    is_valid = formset.is_valid()
    if request.method == 'POST' and formset.is_valid():
        form.save()
        formset.save()
        return redirect('app:top')
    context = {
        'formset': formset,
        'form': form
    }
    return render(request, 'app/item_update.html', context)

get_object_or_404(Item, pk=pk, user=request.user)にすれば、それ以外の人がアクセスしたら404ページになります。

---

ちなみに、UserUpdateは少し無駄が多い気がします。OnlyYouMixinは要りません。
自分の情報をアップデートするのに、自分のidをURLで指定するのはおかしい気がしますよね。なので、

# urls
path("user_update/<int:id>/", views.UserUpdate.as_view(), name="user_update"),
# ↓
path("user_update/", views.UserUpdate.as_view(), name="user_update"),
```idを指定せず、
```Python
class UserUpdate(generic.UpdateView):
    model = User
    form_class = UserUpdateForm
    template_name = 'app/user_form.html'  # デフォルトユーザーを使う場合に備え、きちんとtemplate名を書く
    slug_field = 'user_name'
    slug_url_kwarg = 'user_name'
    def get_success_url(self):
        return reverse_lazy('app:user_detail', kwargs={'user_name': self.object.user_name})
    def get_object(self):
        return self.request.user

def get_object(self):
    return self.request.user
```を足すと、URLにidを渡さなくても勝手に自分の情報の編集ページにしてくれます。

Comments

[Mario_11]

回答していただきありがとうございます！解決しました！！
意外と少ないコードで実装できることに驚きました。

UserUpdateも改良していただきありがとうございます。すごく勉強になります。