DjangoのHTTP万能ツール - 'django.utils.http'

このモジュールが最も輝く瞬間です。

通常のBase64エンコーディングは+や/などの特殊文字を含みます。これらの文字はURLで特別な意味（空白、パス区切りなど）を持つため、URLを通じて値を渡す際に問題を引き起こす可能性があります。

urlsafe_base64_encodeはこれらの文字をURLで安全に使用できる-と_に置き換えてエンコードします。

主な使用例:

• メールベースの会員登録認証トークン
• パスワードリセットリンクのユーザーID(pk)エンコード

例: （パスワードリセットリンク生成）

from django.utils.http import urlsafe_base64_encode, urlsafe_base64_decode
from django.utils.encoding import force_bytes, force_str
from django.contrib.auth.models import User

# 1. トークン生成時 (エンコード)
user = User.objects.get(username='testuser')
# 重要: エンコード前に必ずbytesに変換する必要があります。
uid_bytes = force_bytes(user.pk)
uid_token = urlsafe_base64_encode(uid_bytes)

print(f"エンコードされたトークン: {uid_token}")
# 例: 'Mg' (user.pkが2と仮定)
# reset_url = f"/password-reset/{uid_token}/..."


# 2. ユーザーがリンクをクリックしたとき (デコード)
try:
    # URLで受け取ったトークンを再びbytesにデコード
    uid_bytes_decoded = urlsafe_base64_decode(uid_token)
    # 再度文字列（または整数）に変換
    user_pk = force_str(uid_bytes_decoded)
    user = User.objects.get(pk=user_pk)
    print(f"復元されたPK: {user.pk}")
except (TypeError, ValueError, OverflowError, User.DoesNotExist):
    user = None

注意: force_bytesとforce_strはdjango.utils.encodingモジュールにあり、urlsafe_base64関数とほぼ常に一緒に使われます。

2. クエリ文字列ビルダー: urlencode

Python辞書(dict)オブジェクトをHTTP GETリクエストに使用されるクエリ文字列（例: ?key=value&key2=value2）に簡単に変換します。

例:

from django.utils.http import urlencode

params = {
    'page': 3,
    'q': 'django rest framework',
    'region': 'ja'
}

# 辞書のキーと値をURLエンコードしてクエリ文字列を作成します。
# 'django rest framework'の空白は'+'または'%20'で安全にエンコードされます。
query_string = urlencode(params)

print(query_string)
# 結果: 'page=3&q=django+rest+framework&region=ko'

3. 安全なリダイレクト確認: is_safe_url

from django.utils.http import is_safe_url
from django.shortcuts import redirect, resolve_url

def login_success_redirect(request):
    # GETパラメータから'next'値を取得します。
    next_url = request.GET.get('next')

    # 1. next値が存在して
    # 2. is_safe_url検査を通過する場合にのみ、そのURLにリダイレクトします。
    if next_url and is_safe_url(
        url=next_url,
        allowed_hosts={request.get_host()},  # 現在のリクエストのホストのみを許可
        require_https=request.is_secure()   # 現在のリクエストがHTTPSの場合、リダイレクトもHTTPSでなければならない
    ):
        return redirect(next_url)

    # 安全でないか、'next'値がない場合はデフォルトページに送ります。
    return redirect(resolve_url('main-dashboard'))