Jak zabezpieczyć podstrony (np. "/mojastrona/DoUkryciaAdres"), żeby tylko zalogowany mógł je widzieć?

Question

Chciałbym to zrobić możliwie jak najbardziej po chłopsku np. 

{% if user.is_authenticated %}

    {% extends "baza.html" %}

    {% block content %}
        Test działania
    {% endblock %}

{% else %}

    (jakaś strona powiadamiająca, by się zalogować)

{% endif %}

Tylko że w tym przypadku zostaję poinformowany o błędzie: 

TemplateSyntaxError at /strona/

Invalid block tag on line 11: 'else'. Did you forget to register or load this tag?

 

Answer 1

Musiałbyś pokazać więcej kodu, bo na razie to wygląda jakbyś miał błąd składniowy gdzieś w templacie.

Natomiast... sprawdzanie czy ktoś jest zalogowany w ogóle nie powinno być w templacie. Sprawdzanie `user.is_authenticated` jest zazwyczaj w widoku... albo jeszcze lepiej, bez żadnego kodu, owijając po prostu widok w dekorator `login_required`.

https://docs.djangoproject.com/en/3.1/topics/auth/default/#the-login-required-decorator

https://docs.djangoproject.com/en/3.1/topics/auth/default/#limiting-access-to-logged-in-users

Comments

W templatce chyba jest wszystko w porządku, powyższym kodem chciałem raczej tylko zilustrować dobrze o co mi chodzi. Natomiast, dlaczego sprawdzanie zalogowania nie powinno być w templatce? Mam tam np. wyświetlanie imienia zalogowanego:

{% if user.is_authenticated %}
   Witaj 
   <a href="#">{{user.get_username}}!</a>
{% else %}
    Zaloguj się
{% endif %}

Chodzi o bezpieczeństwo?

---

Mam tam np. wyświetlanie imienia zalogowanego:

To jest fajne.

Natomiast, dlaczego sprawdzanie zalogowania nie powinno być w templatce? 

Template jest "wykonywany" na sam koniec wykonywania się widoku. Więc jeśli takiego "if"a zostawisz w samym templacie to co, będziesz wykonywać masę kodu i różne zapytania bazodanowe, nawet jeśli wiesz że user nie jest zalogowany i nie powinien mieć do tego dostępu? ;) A jeśli już masz takie zabezpieczenie (w postaci np `login_required` przed widokiem), to po co dodawać sprawdzanie w templacie, jak sam widok przekieruje na `/login` lub `/not_logged_message`? :D