**Web应用程序的核心是让任何用户都能够注册账号并能使用它，不管用户身处何方。本次学习：
1.创建一些表单，让用户能够添加主题和条目，以及编辑既有的条目。
2.还将学习Django如何防范对基于表单的网页发起的常见攻击，这让咱们无需花太多时间考虑确保应用程序安全的问题。
3.然后，我们将实现一个用户身份验证系统：将创建一个注册页面，供用户创建账户，并让有些页面只能供已登录的用户访问。
4.接下来，我们将修改一些视图函数，使得用户只能看到自己的数据。
5.并将学习如何确保用户数据的安全。
**

1.让用户能够输入数据

当前，只有超级用户能够通过管理网站输入数据。我们不想让用户与管理网站交互，因此我们将使用Django的表单创建工具来创建让用户能够输入数据的页面。

（1）添加新主题

首先来让用户能够添加新主题。创建基于表单的页面的方法几乎与前面创建网页一样：定义一个URL，编写一个视图函数并编写一个模板。一个主要差别是，需要导入包含表单的模块forms.py。

①用于添加主题的表单

让用户输入并提交信息的页面都是表单，哪怕它看起来不像表单。用户输入信息时，我们需要进行验证，确认提供的信息是正确的数据类型，且不是恶意的信息，如中断服务器的代码。然后，我们再对这些有效信息进行处理，并将其保存到数据库的合适地方。这些工作很多都是由Django自动完成的。

在Django中，创建表单的最简单方式是使用ModelForm，它根据我们定义的模型中的信息自动创建表单。创建一个名为forms.py的文件，并将其存储到models.py所在的目录中，并在其中编写咱的第一个表单：

from django import formsfrom .models import Topicclass TopicForm(forms.ModelForm):   #最简单的ModelForm版本只包含一个内嵌的Meta类，它告诉Django根据哪个模型创建表单，以及在表单中包含哪些字段。class Meta:model = Topic           #根据模型Topic创建一个表单fields = ['text']       #该表单只包含字段textlabels = {'text':''}    #让Django不要为字段text生成标签。

②URL模式new_topic

用户要添加新主题时，将切换到http://localhost:8000/new_topic/。添加如下代码到learning_logs/urls.py：

    #用于添加新主题的网页url(r'^new_topic/$',views.new_topic,name='new_topic')

③视图函数new_topic()

函数new_topic()需要处理两种情形：刚进入new_topic的网页（在这种情况下，它应显示一个空表单）；对提交的表单数据进行处理，并将用户重定向到topics:

from django.http import HttpResponseRedirect        #用户提交主题后使用这个类将用户重定向到网页topics
from django.core.urlresolvers import reverse        #函数reverse根据指定的URL模型确定URL，意味Django将在页面被请求时生成URL
from .forms import TopicFormdef new_topic(request):'''添加新主题'''if request.method != 'POST':#未提交数据：创建一个新表单form = TopicForm()else:#POST提交的数据，对数据进行处理form = TopicForm(request.POST)if form.is_valid():form.save()return HttpResponseRedirect(reverse('learning_logs:topics'))context = {'form':form}return render(request,'learning_logs/new_topic.html',context)

GET请求与POST请求：
对于只是从服务器读取数据的页面，使用GET请求；
在用户需要通过表单提交信息时，通常使用POST请求。
处理所有表单时，我们都将指定使用POST方法。

函数new_topic()将请求对象作为参数。用户初次请求该网页时，其浏览器将发送GET请求；用户填写并提交表单时，其浏览器将发送POST请求。

如果请求方法不是POST，请求就可能是GET，因此我们需要返回一个空表单（即使请求是其他类型的，返回一个空表单也不会有任何问题）。我们创建一个TopicForm实例，将其存储在变量form中，再通过上下文字典将这个表单发送给模板。由于实例化TopicForm时我们没有指定任何实参，Django将创建一个可供用户填写的空表单。
如果请求方法是POST，将执行else代码块，对提交的表单数据进行处理。我们使用用户输入的数据（它们存储在request.POST中）创建一个TopicForm实例，这样对象form将包含用户提交的信息。

要将提交的信息保存到数据库，必须先通过检查确定它们是有效的。函数is_valid()核实用户填写了所有必不可少的字段（表单字段默认都是必不可少的），且输入的数据与要求的字段类型一致（例如，我们在models.py中指定字段text少于200个字符）。这种自动验证避免了我们去做大量的工作。如果所有字段都有效，我们就可调用save()，将表单中的数据写入数据库。保存数据后，就可离开这个页面了。我们使用reverse（）获取页面topics的URL，并将其传递给HttpReRedirect（），后者将用户的浏览器重定向到页面topics。

④模板new_topic

创建新模板new_topic.html，用于显示我们刚创建的表单：

{% extends 'learning_logs/base.html' %}{% block content %}<p>Add a new topic:</p>{#    实参action告诉服务器将提交的表单数据发送到哪里，这里我们将它发送给视图函数new_topic()。#}<form action="{% url 'learning_logs:new_topic' %}" method="post">{#    Django使用下面这个模板标签来防止攻击者利用表单来获得对服务器未经授权的访问（称为跨站请求伪造）#}{% csrf_token %}{#    显示表单，使用下面这个模板变量就可让Django自动创建显示表单所需的全部字段。#}{#    修饰符as_p让Django以段落格式渲染所有表单元素，这是一种整洁的显示表单的简单方式。#}{{ form.as_p }}<button name="submit">add topic</button></form>{% endblock %}

⑤链接到页面new_topic

接下来，我们在页面topics中添加一个到页面new_topic的链接：

（2）添加新条目

①用于添加新条目的表单

需要创建一个与模型Entry相关联的表单：

from .models import Topic,Entryclass EntryForm(forms.ModelForm):class Meta:     #Meta类指出了表单基于的模型以及要在表单中包含哪些字段。model = Entryfields = ['text']labels = {'text':''}    #也给字段‘text’指定了一个空标签#定义了属性widgets。小部件（widget）是一个HTML表单元素，如单行文本框，多行文本框或下拉列表。#通过设置此属性，可覆盖Django选择的默认小部件。通过让Django使用forms.Textarea，我们定制了字段text的输入小部件，#将文本区域的宽度设置为80列，而不是默认的40列。widgets = {'text':forms.Textarea(attrs={'color':80})}

②URL模式new_entry

在用于添加新条目的页面的URL模式中，需要包含实参topic_id，因为条目必须与特定的主题相关联。该URL模式如下，我们将它添加到了learning_logs/urls.py中：

    #用于添加新条目的页面url(r'^new_entry/(?P<topic_id>\d+)/$',views.new_entry,name='new_entry')

此URL模式与形式为http://localhost:8000/new_entry/id/的URL相匹配，其中id是一个与主题ID匹配的数字。代码(?P<topic_id>\d+)捕获一个数字值，并将其存储在变量topic_id中。请求的URL与这个模式匹配时，Django将请求和主题ID发送给函数new_entry()。

③视图函数new_entry()

from .forms import TopicForm,EntryFormdef new_entry(request,topic_id):		'''在特定的主题中添加新条目'''topic = Topic.objects.get(id=topic_id)if request.method != 'POST':#未提交数据，创建一个空表单form = EntryForm()else:#POST提交的数据，对数据进行处理form = EntryForm(data=request.POST)if form.is_valid():new_entry = form.save(commit=False)new_entry.topic = topicnew_entry.save()return HttpResponseRedirect(reverse('learning_logs:topic',args=[topic_id]))context = {'topic':topic,'form':form}return render(request,'learning_logs/new_entry.html',context)

new_entry()的定义包含形参topic_id，用于存储从URL中获得的值。渲染页面以及处理表单数据时，都需要知道针对的是哪个主题，因此我们使用topic_id来获得正确的主题。

如果是GET请求，将执行if代码块：创建一个空的EntryForm实例；
如果请求方法是POST，我们就对数据进行处理：创建一个EntryForm实例，使用request对象中的POST数据来填充它；再检查表单是否有效，如果有效，就设置条目对象的属性topic，再将条目对象保存到数据库。

调用save()时，我们传递了实参commit=False，让Django创建一个新的条目对象，并将其存储到new_entry中，但不将它保存到数据库中。我们将new_entry的属性topic设置为在这个函数开头从数据库中获取的主题，然后调用save（），且不指定任何实参。这将把条目保存到数据库，并将其与正确的主题相关联。再然后，我们将用户重定向到显示相关主题的页面。调用reverse()时，需要提供两个实参：要根据它来生成URL的URL模式的名称；列表args，其中包含要包含在URL中的所有实参。此处，列表args中只有一个元素——topic_id。最后，调用HttpResponseRedirect（）将用户重定向到显示新增条目所属主题的页面。

④模板new_entry

我们在页面顶端显示了主题，让用户知道他是在哪个主题中添加条目；该主题名也是一个链接，可用于返回到该主题的主页面。

{% extends 'learning_logs/base.html' %}{% block content %}<p><a href="{% url 'learning_logs:topic' topic.id %}">{{ topic }}</a></p><p>Add a new entry:</p><form action="{% url 'learning_logs:new_entry' topic.id %}" method="post">{% csrf_token %}{{ form.as_p }}<button name="submit">add entry</button></form>{% endblock %}

⑤链接到页面new_entry

接下来，我们将在显示特定主题的页面中添加到页面new_entry的链接：（修改topic.html）

** 我们在显示条目前添加链接！**

（3）编辑已有条目

①URL模式edit_entry

此页面URL需要传递要编辑的条目的ID。此ID存储在形参entry_id中。

    # 用于编辑条目的页面url(r'edit_entry/(?P<entry_id>\d+)', views.edit_entry, name='edit_entry'),

②视图函数edit_entry()

def edit_entry(request, entry_id):'''编辑既有条目'''entry = Entry.objects.get(id=entry_id)topic = entry.topicif request.method != 'POST':# 初次请求，使用当前条目填充表单form = EntryForm(instance=entry)else:# POST提交的数据，对数据进行处理form = EntryForm(instance=entry, data=request.POST)if form.is_valid():form.save()return HttpResponseRedirect(reverse('learning_logs:topic', args=[topic.id]))context = {'entry': entry, 'topic':topic, 'form':form}return render(request, 'learning_logs/edit_entry.html', context)

首先获取用户要修改的条目对象，以及与该条目相关联的主题。
请求方法为GET时，使用实参instance=entry创建一个EntryForm实例。这个实参让Django创建一个表单，并使用既有条目对象中的信息填充它。用户将看到既有的数据，并能够编辑它们。
请求方法为POST时，传递两个实参，让Django根据既有条目对象创建一个表单实例，并根据request.POST中的相关数据对其进行修改。
最后，重定向到显示条目所属主题的页面，用户将在其中看到其编辑的条目的新版本。

③模板edit_entry

{% extends "learning_logs/base.html" %}{% block content %}<p><a href="{% url 'learning_logs:topic' topic.id %}">{{ topic }}</a></p><p>Edit entry:</p><form action="{% url 'learning_logs:edit_entry' entry.id %}" method="post">{% csrf_token %}{{ form.as_p }}<button name="submit">save changes</button></form>{% endblock content %}

④链接到页面edit_entry

2.创建用户账户

建立一个用户注册和身份验证系统，让用户能够注册账号，进而登录和注销。
还将创建一个新的应用程序，其中包含与处理用户账号相关的所有功能。
最后将对模型Topic稍作修改，让每个主题都归属于特定用户。

（1）应用程序users

①使用如下命令创建一个名为users的应用程序

python manage.py startapp users

②将应用程序users添加到settings.py中

③包含应用程序users的URL

（2）登录页面

使用Django提供的默认登录视图，因此URL模式会稍有不同！

learning_log/users/urls.py：

''' 为应用程序users定义URL模式'''from django.conf.urls import url
from django.contrib.auth.views import login    # 导入默认视图loginfrom . import viewsurlpatterns = [# 登录页面    因为没有编写自己的视图函数，所以传递一个字典，告诉Django去哪里找我们编写的模板。url(r'^login/$', login, {'template_name': 'users/login.html'}, name='login'),
]

①模板login.html

用户请求登录页面时，Django将使用默认视图login，但我们依然需要为这个页面提供模板。
learning_logs/users/templates/users/login.html:

{% extends 'learning_logs/base.html' %}{% block content %}{% if form.errors %}<p>Your username and password didn't match. Please try again.</p>{% endif %}<form method="post" action="{% url 'users:login' %}">{% csrf_token %}{{ form.as_p }}<button name="submit">log in</button><input type="hidden" name="next" value="{% url 'learning_logs:index' %}"></form>
{%  endblock content %}

一个应用程序中的模板可继承另一个应用程序中的模板。
如果表单的errors属性被设置，就显示一条错误信息，指出输入的用户名和密码对数据库中的不匹配。
我们要让登录视图处理表单，因此将实参action设置为登录页面的URL。登录页面将一个表单发送给模板，在模板汇总，我们显示这个表单并添加一个提交按钮。
最后，包含了一个隐藏的表单元素-----next，其中实参value告诉Django在用户成功登录后将其重定向到什么地方-----此处是主页。

②链接到登录页面

在base.html中添加到登录页面的链接，让所有用户都包含它。并在用户已经登录的时候，不显示！

在Django身份验证系统中，每个模板都可使用变量user，此变量有一个is_authenticated属性：如果用户已登录，该属性为True；否则为False。

③使用登录页面

前面创建了一个用户账号，先访问http://localhost:8000/admin，在这里面退出管理员。
然后，访问http://localhost"8000/users/login/，输入账号密码，将进入页面index。

（3）注销

不创建用于注销的页面，而让用户只需单击一个链接就能注销并返回到主页。

①注销URL

②视图函数logout_view()

from django.shortcuts import render
from django.http import HttpResponseRedirect
from django.core.urlresolvers import reverse
from django.contrib.auth import logout# Create your views here.def logout_view(request):'''注销用户'''logout(request)return HttpResponseRedirect(reverse('learning_logs:index'))

③链接到注销视图

（4）注册页面

使用Django提供的表单UserCreationForm，但编写自己的视图函数和模板。

①注册页面的URL模式

②视图函数register()

在注册页面首次被请求时，视图函数register()显示一个空的注册表单；
并在用户提交填写好的注册表单时对其进行处理。
如果注册成功，这个函数还需让用户自动登录。

from django.shortcuts import render
from django.http import HttpResponseRedirect
from django.core.urlresolvers import reverse
from django.contrib.auth import logout,login,authenticate
from django.contrib.auth.forms import UserCreationForm# Create your views here.def logout_view(request):'''注销用户'''logout(request)return HttpResponseRedirect(reverse('learning_logs:index'))def register(request):'''注册新用户'''if request.method != 'POST':# 显示空的注册表单form = UserCreationForm()else:# 处理填写好的表单form = UserCreationForm(data=request.POST)if form.is_valid():new_user = form.save()# 让用户自动登录，再重定向到主页authenticated_user = authenticate(username=new_user.username,password=request.POST['password1'])login(request,authenticated_user)return HttpResponseRedirect(reverse('learning_logs:index'))context = {'form': form}return render(request, 'users/register.html', context)

调用表单的方法save()，将用户名和密码的散列值保存到数据库中，方法save()返回新创建的用户对象。

让用户自动登录，包含两个步骤：
首先，调用authenticate()，并将实参new_user.username和密码传递给它。用户注册时，被要求输入密码两次；由于表单是有效的，我们知道输入的这两个密码是相同的，因此可以使用其中的任何一个。如果用户名和密码无误，方法authenticate()将返回一个通过了身份验证的用户对象。
接下来，调用函数login()，并将对象request和authenticated_user传递给它，这将为新用户创建有效的会话。

③注册模板

register.html：

{% extends 'learning_logs/base.html' %}{% block content %}<form method="post" action="{% url 'users:register' %}">{% csrf_token %}{{ form.as_p }}<button name="submit">register</button><input type="hidden" name="next" value="{% url 'learning_logs:index' %}"></form>
{%  endblock content %}

④链接到注册页面

3.让用户拥有自己的数据

用户应该能够输入其专有的数据，因此我们将创建一个系统，确定各项数据所属的用户，再限制对页面的访问，让用户只能使用自己的数据。

（1）使用@login_required限制访问

**Django提供了装饰器@login_required，让你能够轻松实现：对于某些页面，只允许已登录的用户访问它们。
**

①限制对topics页面的访问

装饰器检查用户是否已登录，仅当用户登录时，Django才运行topics()的代码；如果未登录，就重定向到登录页面。
为实现这种重定向，需要修改settings.py，让Django知道到哪里去查找登录页面——在settings.py末尾添加如下代码：

# 自定义
LOGIN_URL = '/users/login/'

②全面限制对项目的访问

在此项目中，将不限制对主页，注册页面和注销页面的访问，并限制对其他所有页面的访问。

在learning_logs/views.py中，对除index()外的每个视图都应用装饰器。如果你再未登录的情况下尝试访问这些页面，都将被重定向到登录页面！

（2）将数据关联到用户

将数据关联到提交它们的用户。我们只需将最高层的数据关联到用户，这样更低层的数据将自动关联到用户。例如：本项目中，应用程序的最高层数据是主题，而所有条目都与特定主题相关联。只需将每个主题都归属于特定用户，我们就能确定数据库中每个条目的所有者。

①修改模型Topic

在其中添加一个关联到用户的外键（字段owner建立到模型User的外键关系）。这样做后，必须对数据库进行迁移。

②确定当前有哪些用户

我们迁移数据库时，Django将对数据库进行修改，使其能够存储主题和用户之间的关联。为执行迁移，Django需要知道该将各个既有主题关联到哪个用户。最简单的办法是，将既有主题都关联到同一个用户，如超级用户。为此，我们需要知道该用户的ID。
下面来查看已创建的所有用户的ID：

③迁移数据库

知道用户ID后，在Django询问要将既有主题关联到哪个用户时，我们指定一个ID值即可！
首先执行命令makemigrations。然后，Django指出我们试图给既有模型Topic添加一个不可为空的字段，而该字段没有默认值。
Django给我们提供了两个选择：要么提供默认值，要么退出并在models.py中添加默认值。
我们选择了第一个选项，因此Django让我们输入默认值（可以任意指定用户ID）。

最后执行迁移即可！

④观察可知操作成功：

（3）只允许用户访问自己的主题

当前，不管你以哪个用户登录，都能看到所有主题。现在通过对视图函数topics()的修改，实现只向用户显示属于自己的主题。

用户登录后，request对象将有一个user属性，这个属性存储了有关该用户的信息。

（4）保护用户的主题

我们还没有限制对显示单个主题的页面的访问，因此任何已登录的用户都可输入类似于http://localhost:8000/topics/1/的URL，来访问显示相应主题的页面。
为修复这种问题，我们在视图函数topic()获取请求的条目前执行检查！

（5）保护页面edit_entry

页面edit_entry的URL为http://localhost:8000/edit_entry/entry_id/，其中entry_id是一个数字。下面来保护这个页面，禁止用户通过输入类似于前面的URL来访问其他用户的条目：

我们获取指定的条目以及与之相关联的主题，然后 检查主题的所有者是否是当前登录的用户，如果不是，就引发异常。

（6）将新主题关联到当前用户

当前，用于添加新主题的页面存在问题，因为它没有将新主题关联到特定用户。如果尝试添加新主题，将看到错误信息IntegrityError，指出learning_logs_topic.user_id不能为NULL。意思：创建新主题时，必须指定其owner字段的值。

至此，此项目允许任何用户注册，而每个用户想添加多少新主题都可以。每个用户都只能访问自己的数据，无论是查看数据，输入数据还是修改旧数据都是如此！！！