2

validate 和 authenticate_form 装饰器似乎不能很好地结合在一起。这是我的模板：

<html>
<title>Test</title>
<body>
${h.secure_form('/meow/do_post')}
<input type="text" name="dummy">
<form:error name="dummy"><br>
<input type="submit" name="doit" value="Do It">
${h.end_form()}
</body>
</html>

这是控制器：

import logging

from pylons import request, response, session, tmpl_context as c, url
from pylons.controllers.util import abort, redirect

from ocust.lib.base import BaseController, render
import formencode
import formencode.validators
from formencode import htmlfill
from pylons.decorators import validate
from pylons.decorators.secure import authenticate_form

class MeowForm(formencode.Schema):
    allow_extra_fields = True
    dummy = formencode.validators.NotEmpty()

class MeowController(BaseController):

    def index(self): 
        return render('/index.mako')

    @authenticate_form
    @validate(schema=MeowForm(), form='index')
    def do_post(self):
        return 'posted OK'

如果验证失败，@validate 装饰器会使用 htmlfill.render 重新渲染表单，但这会去除身份验证令牌，因此下次提交表单时会显示 403 CSRF 检测到的错误。

身份验证令牌似乎已被剥离，因为@authenticate_form 从 request.POST 中删除了身份验证令牌。

如果改为使用它：

@validate(schema=MeowForm(), form='index', force_defaults=False)

它工作正常。如果 force_defaults 设置为 False，会发生什么不好的事情吗？当默认值“是表单提交的结果”时，htmlfill 的文档似乎建议将其设置为 True。

4

1 回答 1

2 
@validate(schema=MeowForm(), form='index')
@authenticate_form
def do_post(self):

您需要更改装饰器的顺序，验证装饰器必须在最后

于 2010-08-07T10:23:21.773 回答