在 Django 中验证 GET 参数的正确方法

Question

我正在构建一个使用 django 模板/动态页面（没有 SPA 技术）的社交网站。我有一些 ajax 调用来检查用户的新闻提要或新消息。这些示例 GET Web 请求如下所示：

GET /feeds/check/?last_feed=3&feed_source=all&_=1500749662203 HTTP/1.1

这是我在视图中接收它的方式：

@login_required
@ajax_required
def check(request):
    last_feed  = request.GET.get('last_feed')
    feeds = Feed.get_feeds_after(last_feed)

一切正常，但我想保护它，以便在恶意用户将 GET 参数设置为 last_feed="123malicious4556" 时函数 get_feeds_after 不会崩溃。目前它崩溃了，因为在 Feed 模型中，该函数执行以下操作：

@staticmethod
def get_feeds_after(feed):
    feeds = Feed.objects.filter(parent=None, id__gt=float(feed))
    return feeds

并因错误而崩溃：

ValueError at /feeds/check/
invalid literal for float(): 2fff2

我目前通过直接对 GET 变量执行检查并处理 int() 转换上的异常来解决这个问题：

def check(request):
    last_feed  = request.GET.get('last_feed')
    try:
        feed_source = int(request.GET.get('last_feed'))
    except ValueError:
        return HttpResponse(0)

我的问题是 django 推荐的最佳解决方法是什么？我知道 django 有特殊的支持表单验证。但这在这里似乎不太正确，因为 GET 调用更像是一个 api 而不是表单，因此为这些 GET 参数定义表单似乎是一个坏主意。

谢谢

Answer 1

您实际需要的只是为您完成所有基本验证的表单字段。如果您需要自定义验证，您可以编写自己的验证器，甚至更好地编写自己的自定义表单字段。

要单独使用该字段而不使用表单，您可以这样做，例如：

evalType = forms.CharField().clean(request.GET.get('eval-type'))

因为这种方式调用不太人性化，所以我更喜欢编写一个函数来处理它：

def cleanParam(params, paramName, FieldType, *args, **kwargs):
    field = FieldType(*args, **kwargs)
    cleaned = field.clean(params.get(paramName))
    return cleaned

我们这样使用：

evalType = cleanParam(request.GET, 'eval-type', forms.CharField)

这将为您节省一个表单类。但我不认为为此创建一个 django 表单是非常难看的。这个问题有点太多了，但恕我直言，没什么大问题。

使用表单的优点是，您可以在 api 调用中声明所需的字段，并且可以一次性检查所有字段，然后查看is_valid().

我希望这有帮助。