课程里面设为/取消管理员的逻辑是否有问题？

Question

1.在admin.html是通过url参数来向后端传送是否取消管理员的：

% for user in users:
                <tr>
                    <td>${user.username}</td>      # 这里的user对象是迭代出循环的每一个user对象
                    <td>${user.is_superuser}</td>
                    <td>${user.date_joined}</td>
                    <td>
                        % if user.is_superuser:
                            <td><a href="${reverse('admin_update_status')}?status=off">取消管理员</a></td>
                        %else:
                            <td><a href="${reverse('admin_update_status')}?status=on">设为管理员</a></td>
                        % endif
                    </td>
                </tr>
            % endfor

2.在后端处理的视图函数，

class UpdateAdminStatus(View):
    def get(self, request):
        status = request.GET.get('status', 'on')

        _status = True if status == 'on' else False
        request.user.is_superuser = _status  # 这里request.user是当前登录的用户的对象
        request.user.save()    # 数据库中实际修改的是当前登录用户的user对象的管理员状态

        return redirect(reverse('admin_manager'))

问题现象：

修改用户的管理员状态，实际修改的时当前用户的管理员状态：

Answer 1

deweizhang 2019-12-19 15:09:41

我没有看代码哈，正确逻辑应该是过去到该管理员的id 然后 他如果是管理员 并且你想注销他，就把他的状态调整为off（是off吗？我忘了哈 你可以对号入座检查下）。肯定不是修改自己管理员的状态。如果可以 那应该是我逻辑上的漏洞，理论上自己无权限取消自己是管理员

• 提问者 追蝴蝶的少年ww #1

  是，是需要传被修改用户的id过去，改好了逻辑就正常了。

Answer 2

隔壁额老余 2019-12-29 10:54:06

% if user.is_superuser:

                <td><a href="${reverse('admin_update_status')}?status=off&user_id=${user.id}">取消管理员</a></td>

                % else:

                <td><a href="${reverse('admin_update_status')}?status=on&user_id=${user.id}">成为管理员</a></td>

                % endif

--------------------------------------------------------------------------------

class UpdateAdminStatus(View):
    
   def get(self, request):
     status = request.GET.get('status', 'on')
     _status = True if status == 'on' else False
     #request.user.is_superuser = _status
     #request.user.save()
     user_id = request.GET.get('user_id')
     user = User.objects.filter(id=user_id)
     user.update(is_superuser=_status)      
     return redirect(reverse('admin_manger'))

自己写的。可参考

• deweizhang #1

  验证的方案有多种 根据自己的业务需要 可以多思考

• 慕婉清7331720 #2

  请问 你这里的user_id 的值从何而来呢？
  最后为什么不需要将数据渲染到前端。
  不进行这一步
  return render_to_response(request, self.TEMPLATE, data=data)

• 慕婉清7331720 #3

  我想通了。
  这里这样写 觉得更好些
  当前登陆的用户不能更改自己的状态
  user = User.objects.filter(id=user_id).exclude(id=request.user.id)