jsonifierへのアクセスを制限する最も簡単な方法は？

Question

私は次のようにURLを取る少し方法を書いた：自分の名前で「牧場」を持っている都市のcityモデルを照会し、JSONとして結果を返します。そして、

/ajax/places/city?name__icontains=ranch 

：

[ 
    { 
     "pk":24944, 
     "model":"places.city", 
     "fields":{ 
     "province":1, 
     "data_source":2, 
     "elevation":null, 
     "name":"108 Mile Ranch", 
     "feature_class":null, 
     "time_zone":null, 
     "longitude":null, 
     "feature_code":null, 
     "mod_date":"2011-02-02 01:33:17", 
     "latitude":null, 
     "is_verified":true, 
     "population":null 
     } 
    }, ... 

をこれは私の様々な自動完成ウィジェットに便利です。

メソッドは次のようになります。

def lookup(request, app_label, model_name): 
    model = get_model(app_label, model_name) 
    kwargs = dict((k,v) for k,v in request.GET.iteritems()) 
    objects = model.objects.filter(**kwargs)[:25] 
    json = serializers.serialize('json', objects) 
    return HttpResponse(json, mimetype='application/json') 

が唯一の問題は、それが（彼らは/ajax/auth/userを入力することができます）ユーザーが自分のデータベースへの無制限のアクセスを与えることです。

私はそれを少し制限する最も簡単な方法を見つけようとしています。特定のモデルに限定することができますが、Addressesのようなものについては、いくつかのオートコンプリートでそれらを使用する必要がありますが、そのAddressを所有するユーザーだけがそれを見ることができます。

メソッドがajax経由で呼び出されたときに、requestオブジェクトが（認証されたユーザーと共に）正しく渡されるとは思いませんか？

これは、リクエストごとにいくつかの種類の認証キーまたはセッションIDを渡す必要があることを意味しますか？そして、たとえ私がログインしているユーザーを取得しても、私はあまりにも多くのアクセス権をその方法に焼きたいとは思いません。私はそこに所属しているとは思いません。この問題にどのようにアプローチするかは不明です。

Answer 1

公開する必要がない場合は、一部の種類の認証を使用する必要があります。私のAPIページには、ユーザーがログインしていることを確認するための初めに、このようなものがあります。

<?php 
    require ('common.php'); //Validates users and populates the $me array using SESSION, and datastore 

    if (!$me['validLogin']) { 
     die(json_encode(array(
      "status" => "ERR", 
      "message" => "Invalid Access" 
     ))); 

    } 
    //Do the rest of your API Magic here 

?> 

トークンを適用することができますが、このトークンはそれを見つけるために知っている人で、あなたのjavascriptから取得することができないことに注意する必要があります。そのため、ログイン・アーキテクチャーに頼ることは良い解決策です。

Answer 2

これは、クライアント側から任意のクエリを許可しようとしているようです。

しないでください。すべてのクエリを記述している場合は、それらをサーバー側に書き込み、それぞれのクエリを個別に作成します。ユーザーが動的クエリを記述できる必要がある場合は、モデルに直接渡すのではなく、独自の方法を考えてください。

ちなみに、「Ajax」リクエストは通常​​のページ読み込みと同じである必要があります。あなたが認証のためにクッキーを使用する場合、それらはちょうどうまく合格するはずです。