python - 在 Django 中验证 GET 参数的正确方法

Question

我正在构建一个使用 Django 模板/动态页面的社交网站(没有 SPA 技术)。我有一些检查用户新闻提要或新消息的 ajax 调用。这些外观的 GET Web 请求示例如下:

GET /feeds/check/?last_feed=3&feed_source=all&_=1500749662203 HTTP/1.1

这是我在 View 中接收它的方式:

@login_required
@ajax_required
def check(request):
    last_feed  = request.GET.get('last_feed')
    feeds = Feed.get_feeds_after(last_feed)

一切正常，但我想保护它，以便当恶意用户将 GET 参数设置为 last_feed="123malicious4556"时函数 get_feeds_after 不会崩溃。目前它崩溃是因为在 Feed 模型中该函数执行此操作:

@staticmethod
def get_feeds_after(feed):
    feeds = Feed.objects.filter(parent=None, id__gt=float(feed))
    return feeds

并因错误而崩溃:

ValueError at /feeds/check/
invalid literal for float(): 2fff2

我目前通过直接对 GET 变量执行检查并处理 int() 转换的异常来解决此问题:

def check(request):
    last_feed  = request.GET.get('last_feed')
    try:
        feed_source = int(request.GET.get('last_feed'))
    except ValueError:
        return HttpResponse(0)

我的问题是 django 推荐的解决这个问题的最佳方法是什么？我知道 django 有特殊的支持表单验证。但这在这里似乎不太正确，因为 GET 调用更像是一个 API 而不是表单，因此为这些 GET 参数定义表单似乎不是一个好主意。

谢谢

Answer 1

您真正需要的只是为您完成所有基本验证的表单域。如果您需要自定义验证，您可以编写自己的验证器或更好地编写您自己的自定义表单字段。

要在没有表单的情况下单独使用该字段，您可以这样做，例如:

evalType = forms.CharField().clean(request.GET.get('eval-type'))

因为这样调用不太人性化我更喜欢写一个函数来处理它:

def cleanParam(params, paramName, FieldType, *args, **kwargs):
    field = FieldType(*args, **kwargs)
    cleaned = field.clean(params.get(paramName))
    return cleaned

我们这样使用:

evalType = cleanParam(request.GET, 'eval-type', forms.CharField)

这将为您节省一个表单类。但是我不认为为此创建一个 django 表单是非常难看的。这个问题有点过分，但恕我直言，不要太担心。

使用表单的好处是您可以在 api 调用中声明您期望的字段，并且可以一次检查所有字段，然后查看 is_valid() 的结果。

希望对您有所帮助。