防止用户为其他用户创建实例

Question

我有4种型号与外国钥匙相互关联。

class User(models.Model):
    name = models.CharField()

class Business(models.Model):
    name = models.CharField() //business name
    created_by = models.ForeignKey(User,related_name=businesses,on_del=models.CASCADE)

class ProdCategory(models.Model):
    business = models.ForeignKey(Business,related_name=categories,on_del=models.CASCADE)
    name = models.CharField()

class Product(models.Model):
    category = models.ForeignKey(ProdCategory,related_name=products,on_del=models.CASCADE)
    name = models.ForeignKey()
    price = models.DecimalField()

现在，如果我尝试获取当前身份验证的用户的所有产品，我将获得正确的产品列表（来自同一用户＆gt; business＆gt; prodCategory＆gt; product），

但是如果我尝试使用身份验证的用户创建产品，我可以创建提供prodCategory ID的产品（已经由不同用户创建） （业务用户＆gt; prodCategory）！= self.request.user

简而言之，我可以为其他用户创建产品。这不是我想要的。 我想防止当前的用户创建产品，如果提供的prodCategory ID为不同的用户。它应该返回错误。用户必须提供由同一用户创建的ProdCategory的ID。

使用Modelialializer的所有字段定义了序列化器类别。

此处是创建和列表产品的视图：

class CategoryItemListCreateView(generics.ListCreateAPIView):
    serializer_class = CategoryItemSerializer

    def get_queryset(self):
        return CategoryItem.objects.filter(category__budget__created_by=self.request.user).order_by('order')
    
    def create(self, request, *args, **kwargs):
        response = super().create(request, *args, **kwargs)
        item_data = response.data   
        # there will be multiple categories for One business 
        categories = ProdCategory.objects.filter(business__created_by=request.user)
        for c in categories:
            if item_data['category'] == c.id:
                Product.objects.create(name=item_data['name'], category=item_data['category'])
        return response

我用覆盖的创建方法更新了视图。现在，如果我传递其他用户的类别ID，则可以让我为其他用户创建产品。但是，当我通过请求用户类别的类别ID时，会引发错误，说类别字段应该是prodCategory而不是“ 3”的实例。 （3是prodCategory的ID） 但是，如果我通过{“类别”：1}会创建产品。 （1是其他用户创建的ProdCategory的ID），

我感谢任何帮助。

Answer 1

我没有看到您的创建产品侧。所以我只是写逻辑。

prodCategory= ProdCategory.objects.get(id=1)
if prodCategory.business.created_by == request.user:
     #let user to create the product
     Product.objects.create()
else:
    return False

我希望你了解逻辑

Answer 2

基本上，我想要的是防止用户将产品推向非用户拥有的产品类别。

我刚找到解决方案。
因此，如果其他人遇到同样的问题，我将在此处添加它。

为了防止用户，我添加了产品序列化机中类别的验证。不需要覆盖创建方法。

class ProductSerializer(serializers.ModelSerializer):
    class Meta:
        model = Product
        fields = '__all__'
    
    def validate_category(self, value):
        category_id = value.id
        category = ProdCategory.objects.get(id=category_id)
        user = self.context['request'].user
        if category.business.created_by != user:
            raise serializers.ValidationError("You do not have permission")
        return value