Djangos HTTP-Alleskönner - 'django.utils.http'

Hier zeigt dieses Modul seine ganze Stärke.

Die gängige Base64-Codierung enthält Sonderzeichen wie + oder /. Diese Zeichen haben in URLs eine besondere Bedeutung (z. B. Leerzeichen, Pfadtrennzeichen) und können Probleme verursachen, wenn Werte über URLs übermittelt werden.

urlsafe_base64_encode ersetzt diese Zeichen durch - und _, sodass sie in der URL sicher verwendet werden können.

Wichtige Anwendungsfälle:

• Authentifizierungstoken für die Registrierung per E-Mail
• Codierung der Benutzer-ID (pk) in Links zum Zurücksetzen des Passworts

Beispiel: (Erstellen eines Links zum Zurücksetzen des Passworts)

from django.utils.http import urlsafe_base64_encode, urlsafe_base64_decode
from django.utils.encoding import force_bytes, force_str
from django.contrib.auth.models import User

# 1. Beim Erstellen des Tokens (Codierung)
user = User.objects.get(username='testuser')
# Wichtig: Vor der Codierung muss es immer in Bytes umgewandelt werden.
uid_bytes = force_bytes(user.pk)
uid_token = urlsafe_base64_encode(uid_bytes)

print(f"Codiertes Token: {uid_token}")
# Beispiel: 'Mg' (angenommen, user.pk ist 2)
# reset_url = f"/password-reset/{uid_token}/..."


# 2. Wenn der Benutzer auf den Link klickt (Dekodierung)
try:
    # Den über die URL erhaltenen Token wieder in Bytes dekodieren
    uid_bytes_decoded = urlsafe_base64_decode(uid_token)
    # Wieder in String (oder Integer) umwandeln
    user_pk = force_str(uid_bytes_decoded)
    user = User.objects.get(pk=user_pk)
    print(f"Wiederhergestellter PK: {user.pk}")
except (TypeError, ValueError, OverflowError, User.DoesNotExist):
    user = None

Hinweis: force_bytes und force_str gehören zum django.utils.encoding Modul und werden fast immer zusammen mit den Funktionen von urlsafe_base64 verwendet.

2. Abfragezeichenfolgen-Builder: urlencode

Er wandelt Python-Dictionary (dict) Objekte einfach in Abfragezeichenfolgen um, die in HTTP GET-Anfragen verwendet werden (z. B. ?key=value&key2=value2).

Beispiel:

from django.utils.http import urlencode

params = {
    'page': 3,
    'q': 'django rest framework',
    'region': 'ja'
}

# Kodiert die Schlüssel und Werte des Dictionaries und erstellt eine Abfragezeichenfolge.
# Leerzeichen in 'django rest framework' werden sicher als '+' oder '%20' kodiert.
query_string = urlencode(params)

print(query_string)
# Ergebnis: 'page=3&q=django+rest+framework&region=ko'

3. Überprüfung sicherer Weiterleitungen: is_safe_url

from django.utils.http import is_safe_url
from django.shortcuts import redirect, resolve_url

def login_success_redirect(request):
    # Holt den 'next'-Wert aus den GET-Parametern.
    next_url = request.GET.get('next')

    # 1. next-Wert muss vorhanden sein und
    # 2. is_safe_url-Test muss bestanden werden, um zu dieser URL weiterzuleiten.
    if next_url and is_safe_url(
        url=next_url,
        allowed_hosts={request.get_host()},  # Nur den Host der aktuellen Anfrage erlauben
        require_https=request.is_secure()   # Wenn die aktuelle Anfrage HTTPS ist, muss die Weiterleitung auch HTTPS sein
    ):
        return redirect(next_url)

    # Wenn nicht sicher oder 'next'-Wert nicht vorhanden, wird zur Standardseite weitergeleitet.
    return redirect(resolve_url('main-dashboard'))