还记得我们上一章提到过的加入页面吗？

watermark/2/text/aHR0cDovL2Jsb2cuY3Nkbi5uZXQvaGVtZW5nMTk4MA==/font/5a6L5L2T/fontsize/400/fill/I0JBQkFCMA==/dissolve/70/gravity/Center" alt="">

加入完以后我们注意一下地址栏：

表单里的数据赤裸裸的显示在了地址栏中，这时候假设我们改动一下内容

刷新，这样数据库里面就会又加入了一条数据，也就是说用户假设知道表单的结果页的连接，就能够不通过我们的表单。随意加入数据了，这样当然不是我们想要的结果。

这种结果是由于我们在表单中使用了get的方式来传递数据，这时我们应该想到採用post的方法，post比get更加安全，我们来改动一下模板页面，注意这里：

以下是表单模板Classroom_Add.html的代码：

<!DOCTYPE HTML PUBLIC "-//W3C//DTD HTML 4.01//EN">

<html>

<head>

    <title>数据库操作简单表的加入</title>

</head>

<body>

    <h1>这里是Classroom的加入页面</h1>

    {% if error %}

        <p style="color: red;">请输入班级名称和导师姓名</p>

    {% endif %}

   <form action="" method="post">

   {% csrf_token %}

        <table border="1" cellpadding="10">

          <tr>

            <td align="center">项目</td>

            <td align="center">内容</td>

          </tr>

          <tr>

            <td align="right">班级名称：</td>

            <td><input type="text" name="name"></td>

          </tr>

          <tr>

            <td align="right">导师姓名：</td>

            <td><input type="text" name="tutor"></td>

          </tr>

          <tr>

            <td colspan="2"><input type="submit" value="加入"></td>

          </tr>

        </table>

  </form>

</body>

</html>

把get方法改动为post后，我们当然也要改动一下视图，之前的get方法是这种：

def ClassroonAdd(request):

    if 'name' in request.GET and request.GET['name'] and 'tutor' in request.GET and request.GET['tutor']:

        name = request.GET['name']

        tutor = request.GET['tutor']

        c = ClassRoom(name=name,tutor=tutor)

        c.save()

        return render_to_response('person/Classroom_Add_results.html',

            {'name': name})

    else:

        return render_to_response('person/Classroom_Add.html', {'error': True})

改动以后的pose方法是这种 ：

def ClassroonAdd(request):

    if request.POST.has_key('name')  and request.POST.has_key('tutor') :

        name = request.POST['name']

        tutor = request.POST['tutor']

        c = ClassRoom(name=name,tutor=tutor)

        c.save()

        return render_to_response('person/Classroom_Add_results.html',

            {'name': name},context_instance=RequestContext(request))

    else:

        return render_to_response('person/Classroom_Add.html', {'error': True},context_instance=RequestContext(request))

这时候我们在来測试一下：

地址栏里面的參数不见了！

我们在前一节讲的样例中另一个表单：就是改动页面。我们使用同样的方法来进行改动。改造Classroom_Modify.html模板：

<!DOCTYPE HTML PUBLIC "-//W3C//DTD HTML 4.01//EN">

<html>

<head>

    <title>数据库操作简单表的改动</title>

</head>

<body>

    <h1>这里是Classroom--{{name}}的改动页面</h1>

    {% if error %}

        <p style="color: red;">请输入班级名称和导师姓名</p>

    {% endif %}

    <form action="" method="post">

   {% csrf_token %}

        <table border="1" cellpadding="10">

          <tr>

            <td align="center">项目</td>

            <td align="center">内容</td>

          </tr>

          <tr>

            <td align="right">班级名称：</td>

            <td><input type="text" name="name" value="{{name}}"></td>

          </tr>

          <tr>

            <td align="right">导师姓名：</td>

            <td><input type="text" name="tutor" value="{{tutor}}"></td>

          </tr>

          <tr>

            <td colspan="2">

            <input type="hidden" name="id" value="{{id}}">

            <input type="submit" value="改动">

            <input type="button" value="返回" onClick="location.href='../../list'">

            </td>

          </tr>

        </table>

  </form>

</body>

</html>

改动视图页面：

def ClassroonModify(request,id1):

    cursor=connection.cursor()

    Classroon=ClassRoom.objects.get(id=id1)

    old_name = Classroon.name

    old_tutor = Classroon.tutor

    cursor.close()

    if request.POST.has_key('name')  and request.POST.has_key('tutor') :

        new_name = request.POST['name']

        new_tutor = request.POST['tutor']

        Classroon.name=new_name

        Classroon.tutor=new_tutor

        Classroon.save()

        return render_to_response('person/Classroom_Modify_results.html',

            {'old_name': old_name,'old_tutor':old_tutor,'new_name':new_name,'new_tutor':new_tutor},context_instance=RequestContext(request))

    else:

        return render_to_response('person/Classroom_Modify.html', {'error': True,'id':id1,'name':old_name,'tutor':old_tutor},context_instance=RequestContext(request))

完毕。这样我们就把曾经的get方法改动成了post，在一定程度上保证了表单的安全。

以下的问题就是直接訪问改动页面或者删除页面呢，如这样：

watermark/2/text/aHR0cDovL2Jsb2cuY3Nkbi5uZXQvaGVtZW5nMTk4MA==/font/5a6L5L2T/fontsize/400/fill/I0JBQkFCMA==/dissolve/70/gravity/Center" alt="">

直接在浏览当中输入地址，就能够删除和打开改动页面了。这样太危急了。全部这就要用到我们在11章 的样例http://blog.csdn.net/hemeng1980/article/details/25239713中的GetHTTP_REFERER了。只是须要注意的是一下情况：

一、可以取到HTTP_REFERER的情况为下面几种：

1．直接用<a href>

2．用Submit或<input type=image>提交的表单(POST or GET)

3．使用Jscript提交的表单(POST or GET)

二、不能取到的情况有下面几种：

1．从收藏夹链接

2．单击”主页”或者自己定义的地址

3．利用Jscript的location.href or location.replace()

4．在浏览器直接输入地址

5．<%Response.Redirect%>

6．<%Response.AddHeader%>或<meta http-equiv=refresh>转向

7．用XML载入地址

而我就犯了不能取到的第三种错误。所以我们要吧原来的button改动成为连接（A标签）。改动Classroom_List.html：

<!DOCTYPE HTML PUBLIC "-//W3C//DTD HTML 4.01//EN">

<html>

<head>

    <title>数据库操作简单表的加入</title>

</head>

<body>

    <h1>这里是Classroom的管理页面</h1>

        <table border="1" cellpadding="10">

          <tr>

            <td align="center">序号</td>

            <td align="center">班级名称</td>

            <td align="center">导师姓名</td>

            <td align="center">操作</td>

          </tr>

          {% for myclass in ClassroonList%}

          <tr>

            <td align="right">{{ myclass.id }}</td>

            <td align="right">{{ myclass.name }}</td>

            <td align="right">{{ myclass.tutor }}</td>

            <td align="right">

            <a href="../modify/{{ myclass.id }}">改动</a>

            <a href="../delete/{{ myclass.id }}">删除</a>

            </td>

          </tr>

          {% endfor %}

        </table>

</body>

</html>

接下来我们改动一下视图：

def ClassroonModify(request,id1):

    GetHost=request.get_host()

    try:

        GetHTTP_REFERER = request.META['HTTP_REFERER']

    except KeyError:

        GetHTTP_REFERER = 'unknown'

    if GetHTTP_REFERER!='unknown' and GetHTTP_REFERER.find(GetHost)>0:

        cursor=connection.cursor()

        Classroon=ClassRoom.objects.get(id=id1)

        old_name = Classroon.name

        old_tutor = Classroon.tutor

        cursor.close()

        if request.POST.has_key('name')  and request.POST.has_key('tutor') :

            new_name = request.POST['name']

            new_tutor = request.POST['tutor']

            Classroon.name=new_name

            Classroon.tutor=new_tutor

            Classroon.save()

            return render_to_response('person/Classroom_Modify_results.html',

                {'old_name': old_name,'old_tutor':old_tutor,'new_name':new_name,'new_tutor':new_tutor},context_instance=RequestContext(request))

        else:

            return render_to_response('person/Classroom_Modify.html', {'error': True,'id':id1,'name':old_name,'tutor':old_tutor},context_instance=RequestContext(request))

    else:

        return render_to_response('person/Error.html')

不要忘了加入一个Error.html'：

<html>

<head>

    <title>查询用户结果页</title>

</head>

<body>

    <table border="1" cellpadding="5"><tr>

      <td>非法操作</td></tr>

      <tr>

        <td><a href="http://127.0.0.1:8000/ClassRoom/list/">点击返回</a></td>

      </tr>

    </table>

</body>

</html>

依照相同的方法改动一下删除功能：

def ClassroonDelete(request,id1):

    GetHost=request.get_host()

    try:

        GetHTTP_REFERER = request.META['HTTP_REFERER']

    except KeyError:

        GetHTTP_REFERER = 'unknown'

    if GetHTTP_REFERER!='unknown' and GetHTTP_REFERER.find(GetHost)>0:

        cursor=connection.cursor()

        Classroon=ClassRoom.objects.get(id=id1)

        old_name = Classroon.name

        Classroon.delete()

        ClassroonList=ClassRoom.objects.all()

        cursor.close()

        return render_to_response('person/Classroom_Delete_results.html',{'name':old_name})

    else:

        return render_to_response('person/Error.html')

我们做一下測试假设这时候直接输入网址：http://127.0.0.1:8000/ClassRoom/modify/48/

就会看到：

这样我们有保护了删除和改动页面的安全性。

最后另一个问题，假设加入后怎样防止刷新表单，这个功能眼下我们还没有解说到Session。先留一个伏笔把，假设对session了解的人，能够先參考这个试试 ：

http://www.cnblogs.com/ken-zhang/archive/2010/12/25/1916437.html

以后我们会具体讨论这个问题的。

Python+Django+SAE系列教程14-----使表单更安全的更多相关文章

  1. Python+Django+SAE系列教程17-----authauth (认证与授权)系统1

    通过session,我们能够在多次浏览器请求中保持数据,接下来的部分就是用session来处理用户登录了. 当然,不能仅凭用户的一面之词,我们就相信,所以我们须要认证. 当然了,Django 也提供了 ...

  2. Python+Django+SAE系列教程11-----request/pose/get/表单

    表单request,post,get 首先我们来看看Request对象,在这个对象中包括了一些实用的信息,学过B/S开发的人来说这并不陌生,我们来看看在Django中是怎样实现的: 属性/方法 说明 ...

  3. Python+Django+SAE系列教程13-----MySQL记录的添\删\改

    建立了数据库后,我们就来做一个简单的表(person_classroom)的加入.删除.改动的操作. 首先我们建立一个加入的页面的模板Classroom_Add.html(加入的表单)并把它放在Bid ...

  4. Python+Django+SAE系列教程15-----输出非HTML内容(图片/PDF)

    一个Django视图函数 必须 接受一个HttpRequest 实例作为它的第一个參数 返回一个HttpResponse 实例 从一个视图返回一个非HTML 内容的关键是在构造一个 HttpRespo ...

  5. Python+Django+SAE系列教程16-----cookie&amp;session

    本章我们来解说cookie和session ,这两个东西相信大家一定不陌生,概念就不多讲了,我们直接来看其使用方法,首先是cookie,我们在view中加入三个视图,一个是显示cookie的,一个是设 ...

  6. Python+Django+SAE系列教程12-----配置MySQL数据库

    由于SAE上支持的是Mysql,首先我们要在本地配置一个Mysql的环境 ,我在网上找到MySQL-python-1.2.4b4.win32-py2.7.exe,并双击 安装 选择典型安装 安装结束后 ...

  7. Python+Django+SAE系列教程9-----Django的视图和URL

    第三.四.五章介绍的就是Django中MVC的视图.模板.模型了. 首先来看视图(view),在用Django生成的站点目录中,创建一个view.py文件,这个文件開始是空的.然后我们输入下面内容: ...

  8. Python+Django+SAE系列教程10-----Django模板

    在本章中,我们开始模板,在前面的章节,您可能已经注意到,我们回到文本的方式有点特别的示例视图. 那.HTML直接在硬编码 Python 其中代码. 这的确是一个小BT. def current_dat ...

  9. Python+Django+SAE系列教程6-----本地配置Django

    前五章.我们介绍了Python的语法,本章開始介绍Django. Python的Web框架有非常多,有Django.web2py.tornado.web.py等.我们这里选 则Django.至于这些框 ...

随机推荐

  1. java字符操作获取汉字的拼音以及其它经常使用工具

    公司需求年年有,今年有点小特殊,哈哈. 忽然加了个需求,说要实现汉字转拼音查询. 在努力下写出来了,如今分享一下吧!.! /** * 汉字转拼音缩写 * * @param str * 要转换的汉字字符 ...

  2. 一道经典的C++结构体的题目

    题目描述: 有10个学生,每个学生的数据包括学号.姓名.英语.数学.物理三门课的成绩,从键盘输入10个学生数据,要求打印出3门课程的总平均成绩,以及最高分的学生的数据(包括学号,姓名,3门课的平均成绩 ...

  3. Resist the Temptation of the Singleton Pattern

    Resist the Temptation of the Singleton Pattern Sam Saariste THE SiNGLETON PATTERN SOLVES MANY OF YOU ...

  4. Ch05 视图模型

    5.1  什么是视图模型 5.1.1  在线商店示例 5.1.2  建立视图模型 5.1.3  交付表现模型 5.1.4  ViewData.Model 5.2  表现用户输入 5.2.1  设计(输 ...

  5. perl $d = encode_utf8($r); $f = decode_json($d)

    [root@dr-mysql01 ~]# cat a1.pl my $url="http://192.168.32.101:3000/api/getcode?env=zj&phone ...

  6. 基于visual Studio2013解决面试题之1006判断升序

     题目

  7. ajax终结篇

    Ajax中post和get的区别 在ajax中有这个方法 xmlreq.open("post","servlet/MyServlet?time="+newDat ...

  8. HBase概念学习（七）HBase与Mapreduce集成

    这篇文章是看了HBase权威指南之后,依据上面的解说搬下来的样例,可是略微有些不一样. HBase与mapreduce的集成无非就是mapreduce作业以HBase表作为输入,或者作为输出,也或者作 ...

  9. 算法-最长子序列和C/C++实现（三个复杂度）

    最长子序列和的问题非常easy: 就是一个数组,求出当中当中连续的某一段和,而这一段和是全部的连续段和的最大的值.求出这个值. 先说复杂度最高的:O(n3) 直接上代码,非常easy的: // // ...

  10. Java中@Deprecated、@SupressWarning、@Override的作用

    Annotation注解在 Java 中有着很广泛的,他是做为一种标识 为javac所识别.每一个注解 都对应这一个Java类  在java.lang包中 有三个注解  分别是 Deprecated  ...