Использование Pylons validate и authenticate_form decorator - PullRequest
Новая
       36

Использование Pylons validate и authenticate_form decorator

2 голосов
/ 05 июня 2010

Кажется, что декораторы validate и authenticate_form не очень хорошо играют вместе. Это мой шаблон: 

<html>
<title>Test</title>
<body>
${h.secure_form('/meow/do_post')}
<input type="text" name="dummy">
<form:error name="dummy"><br>
<input type="submit" name="doit" value="Do It">
${h.end_form()}
</body>
</html>

А это контроллер: 

import logging

from pylons import request, response, session, tmpl_context as c, url
from pylons.controllers.util import abort, redirect

from ocust.lib.base import BaseController, render
import formencode
import formencode.validators
from formencode import htmlfill
from pylons.decorators import validate
from pylons.decorators.secure import authenticate_form

class MeowForm(formencode.Schema):
    allow_extra_fields = True
    dummy = formencode.validators.NotEmpty()

class MeowController(BaseController):

    def index(self): 
        return render('/index.mako')

    @authenticate_form
    @validate(schema=MeowForm(), form='index')
    def do_post(self):
        return 'posted OK'

Если проверка не пройдена, форма повторно обрабатывается с использованием htmlfill.render декоратором @validate, но это удаляет маркер аутентификации, поэтому обнаруженная ошибка 403 CSRF отображается при следующей отправке формы.

Кажется, что токен аутентификации удален, потому что @authenticate_form удаляет токен аутентификации из request.POST.

Если вместо этого используется: 

@validate(schema=MeowForm(), form='index', force_defaults=False)

работает нормально. Может ли случиться что-то плохое, если для force_defaults установлено значение False? Документы для htmlfill рекомендуют установить значение True, если значения по умолчанию «являются результатом отправки формы».

1 Ответ

2 голосов
/ 07 августа 2010 
@validate(schema=MeowForm(), form='index')
@authenticate_form
def do_post(self):

Вам необходимо изменить порядок декораторов, аутентификация декоратора должна быть последней

...