当我想要更新时，Django 表单插入

Question

我是 Django 新手，但我在另一个站点上似乎有几乎相同的代码。我可以在 Django shell 中更新记录，但在 view.py 中，当我运行此表单时，相同的代码坚持插入新记录。

• 我在模型中有一个“DisciplineEvent”对象。我让 Django 为主键创建“id”字段。我可以看到“id” int 列已在 MySQL 中使用 auto_increment 创建
• 表单 DisciplineEventEntryForm 是从“DisciplineEvent”模型对象创建的。
• 要编辑记录，填写输入表单并将 pk 放入名为“id”的隐藏字段中，该字段似乎与 POST 数据一起提交。

所以 view.py 的相关部分是这样的：

if request.method == 'POST':
    incidentId = request.POST['id']
    editedEvent = DisciplineEvent.objects.get(pk=int(incidentId))
    form = DisciplineEventEntryForm(request.POST, instance=editedEvent)
    form.save()
    variables = Context({
        'account': account,
        'date': request.POST['event_date'],
        'description': request.POST['incident_description'],
        'incident_id':incidentId,
         })
     template = get_template('disciplineform_confirm_entry.html')
     output = template.render(variables)
     response = HttpResponse(output)
     return response

我认为这会提取有问题的记录，将新的表单数据保存到其中，然后更新记录。相反，它会创建一条包含所有数据和递增主键的新记录。

Answer 1

您正在尝试做的是非常规的并且可能存在安全漏洞。

您不应该从您在表单中填充的隐藏 id 键中获取对象的实例。用户可以轻松地更改这一点，并让您的代码覆盖他们甚至可能没有权限的其他模型实例。

标准的做法是根据url获取对象。

def view_function(request,id):
    object_to_edit = get_object_or_404(Model,id=id) #Or slug=slug
    form = ModelForm(data = request.POST or None, instance=object_to_edit)
    if form.is_valid():
        form.save()
        redirect()
    return render_to_response('template_name',{},RequestContext(request))

希望对你有帮助！