情景1：多站点间复用数?/h3>

正如我们在第一章里所讲，Django 构建的网?LJWorld.com ?Lawrance.com 是用由同一个新闻组织控制的?肯萨斯州劳伦斯市?劳伦斯日报世?/em> 报纸?LJWorld.com 主要做新闻，?Lawrence.com 关注本地娱乐?然而有时，编辑可能需要把一篇文章发布到 两个 网站上?/p>

解决此问题的死脑筋方法可能是使用每个站点分别使用不同的数据库，然后要求站点维护者把同一篇文章发布两次： 一次为 LJWorld.com，另一次为Lawrence.com?但这对站点管理员来说是低效率的，而且为同一篇文章在数据库里保留多个副本也显得多余?/p>

更好的解决方案？ 两个网站用的是同一个文章数据库，并将每一篇文章与一个或多个站点用多对多关系关联起来?Django 站点框架提供数据库表来记载哪些文章可以被关联?它是一个把数据与一个或多个站点关联起来的钩子?/p>

当前站点管理?/h3>

如果 站点 在你的应用中扮演很重要的角色，请考虑在你的模型中使用方便?CurrentSiteManager ?这是一个模型管理器（见第十章），它会自动过滤使其只包含与当前站点相关联的对象?/p>

通过显示地将 CurrentSiteManager 加入模型中以使用它?例如?/p>

from django.db import models
from django.contrib.sites.models import Site
from django.contrib.sites.managers import CurrentSiteManager

class Photo(models.Model):
    photo = models.FileField(upload_to='/home/photos')
    photographer_name = models.CharField(max_length=100)
    pub_date = models.DateField()
    site = models.ForeignKey(Site)
    objects = models.Manager()
    on_site = CurrentSiteManager()

通过该模型， Photo.objects.all() 将返回数据库中所有的 Photo 对象，?Photo.on_site.all() 仅根?SITE_ID 设置返回与当前站点相关联?Photo 对象?/p>

换言之，以下两条语句是等效的?/p>

Photo.objects.filter(site=settings.SITE_ID)
Photo.on_site.all()

CurrentSiteManager 是如何知?Photo 的哪个字段是 Site 呢？缺省情况下，它会查找一个叫?site 的字段。如果你的模型包含了名字不是site?em>外键或?tt class="docutils literal">多对?/span>关联，你需要把它作为参数传?tt class="docutils literal">CurrentSiteManager以显示指明。下面的模型拥有一?tt class="docutils literal">publish_on字段?/p>

from django.db import models
from django.contrib.sites.models import Site
from django.contrib.sites.managers import CurrentSiteManager

class Photo(models.Model):
    photo = models.FileField(upload_to='/home/photos')
    photographer_name = models.CharField(max_length=100)
    pub_date = models.DateField()
    publish_on = models.ForeignKey(Site)
    objects = models.Manager()
    on_site = CurrentSiteManager('publish_on')

如果试图使用 CurrentSiteManager 并传入一个不存在的字段名?Django 将引发一?ValueError 异常?/p>

注意

即便是已经使用了 CurrentSiteManager ，你也许还想在模型中拥有一个正常的（非站点相关）的 管理?/span> 。正如在附录 B 中所解释的，如果你手动定义了一个管理器，那?Django 不会为你创建全自动的 objects = models.Manager() 管理器?/p>

同样，Django 的特定部分（?Django 超级管理站点和通用视图）使用在模型中定??em>第一?/em>管理器，因此如果希望管理站点能够访问所有对象（而不是仅仅站点特有对象），请于定?CurrentSiteManager 之前在模型中放入 objects = models.Manager() ?/p>

Django如何使用多站点框?/h3>

尽管并不是必须的，我们还是强烈建议使用多站点框架，因?Django 在几个地方利用了它?即使只用 Django 来支持单个网站，你也应该花一点时间用 domain ?name 来创建站点对象，并将 SITE_ID 设置指向它的 ID ?/p>

以下讲述的是 Django 如何使用多站点框架：

• 在重定向框架中（见后面的重定向一节），每一个重定向对象都与一个特定站点关联??Django 搜索重定向的时候，它会考虑当前?SITE_ID ?/p>

• 在注册框架中，每个注释都与特定站点相关?每个注释被显示时，其 site 被设置为当前?SITE_ID ，而当通过适当的模板标签列出注释时，只有当前站点的注释将会显示?/p>

• ?flatpages 框架?(参见后面?Flatpages 一节），每?flatpage 都与特定的站点相关联?创建 flatpage 时，你都将指定它?site ，?flatpage 中间件在获取 flatpage 以显示它的过程中，将查看当前?SITE_ID ?/p>

• ?syndication 框架中（参阅?13 章）?title ?description 的模板会自动访问变量 {{ site }} ，它其实是代表当前站点的 Site 对象?而且，如果你不指定一个合格的domain的话，提供目录URL的钩子将会使用当前“Site”对象的domain?/p>

• 在权限框架中（参见十四章），视图django.contrib.auth.views.login把当?tt class="docutils literal">Site名字和对象分别以{{ site_name }}?tt class="docutils literal">{{ site }}的形式传给了模板?/p>

使用简单页?/h3>

安装简单页面应用程序必须按照下面的步骤?/p>

1. 添加 'django.contrib.flatpages' ?INSTALLED_APPS 设置?tt class="docutils literal">django.contrib.flatpages依赖django.contrib.sites，所以确保它们都?tt class="docutils literal">INSTALLED_APPS里?/p>

2. ?'django.contrib.flatpages.middleware.FlatpageFallbackMiddleware' 添加?MIDDLEWARE_CLASSES 设置中?/p>

3. 运行 manage.py syncdb 命令在数据库中创建必需的两个表?/p>

简单页面应用程序在数据库中创建两个表： django_flatpage ?django_flatpage_sites ?django_flatpage 只是?URL 映射到标题和一段文本内容?django_flatpage_sites 是一个多对多表，用于关联某个简单页面以及一个或多个站点?/p>

该应用捆绑的 FlatPage 模型?django/contrib/flatpages/models.py 进行定义，如下所示：

from django.db import models
from django.contrib.sites.models import Site

class FlatPage(models.Model):
    url = models.CharField(max_length=100, db_index=True)
    title = models.CharField(max_length=200)
    content = models.TextField(blank=True)
    enable_comments = models.BooleanField()
    template_name = models.CharField(max_length=70, blank=True)
    registration_required = models.BooleanField()
    sites = models.ManyToManyField(Site)

让我们逐项看看这些字段的含义：

• url : 该简单页面所处的 URL，不包括域名，但是包含前导斜?(例如 /about/contact/ )?/p>

• title : 简单页面的标题?框架不对它作任何特殊处理?由你通过模板来显示它?/p>

• content : 简单页面的内容 (?HTML 页面)?框架不对它作任何特殊处理?由你负责使用模板来显示?/p>

• enable_comments : 是否允许该简单页面使用评论?框架不对它作任何特殊处理?你可在模板中检查该值并根据需要显示评论窗体?/p>

• template_name : 用来解析该简单页面的模板名称?这是一个可选项；如果未指定模板或该模板不存在，系统会退而使用默认模?flatpages/default.html ?/p>

• registration_required : 是否注册用户才能查看此简单页面?该设置项集成?Djangos 验证/用户框架，该框架于第十四章详述?/p>

• sites : 该简单页面放置的站点?该项设置集成?Django 多站点框架，该框架在本章的“多站点”一节中有所阐述?/p>

你可以通过 Django 超级管理界面或?Django 数据?API 来创建简单页面?要了解更多内容，请查阅“添加、修改和删除简单页面”一节?/p>

一旦简单页面创建完成， FlatpageFallbackMiddleware 将完成（剩下）所有的工作?每当 Django 引发 404 错误，作为最后的办法，该中间件将根据所请求?URL 检查简单页面数据库?确切地说，它将使用所指定?URL以及 SITE_ID 设置对应的站?ID 查找一个简单页面?/p>

如果找到一个匹配项，它将载入该简单页面的模板（如果没有指定的话，将使用默认模?flatpages/default.html ）?同时，它把一个简单的上下文变?tt class="docutils literal">flatpage（一个简单页面对象）传递给模板?模板解析过程中，它实际用的是RequestContext?/p>

如果 FlatpageFallbackMiddleware 没有找到匹配项，该请求继续如常处理?/p>

注意

该中间件仅在发生 404 （页面未找到）错误时被激活，而不会在 500 （服务器错误）或其他错误响应时被激活?还要注意的是必须考虑 MIDDLEWARE_CLASSES 的顺序问题?通常，你可以?FlatpageFallbackMiddleware 放在列表最后，因为它是最后的办法?/p>

添加、修改和删除简单页?/h3>

可以用两种方式增加、变更或删除简单页面：

通过超级管理界面

如果已经激活了自动?Django 超级管理界面，你将会在超级管理页面的首页看到有个 Flatpages 区域?你可以像编辑系统中其它对象那样编辑简单页面?/p>

通过 Python API

前面已经提到，简单页面表现为 django/contrib/flatpages/models.py 中的标准 Django 模型。这样，你就可以使用Django数据库API来存取简单页面对象，例如?/p>

>>> from django.contrib.flatpages.models import FlatPage
>>> from django.contrib.sites.models import Site
>>> fp = FlatPage.objects.create(
...     url='/about/',
...     title='About',
...     content='<p>About this site...</p>',
...     enable_comments=False,
...     template_name='',
...     registration_required=False,
... )
>>> fp.sites.add(Site.objects.get(id=1))
>>> FlatPage.objects.get(url='/about/')
<FlatPage: /about/ -- About>

使用简单页面模?/h3>

缺省情况下，系统使用模板 flatpages/default.html 来解析简单页面，但你也可以通过设定 FlatPage 对象?template_name 字段来更改特定简单页面的模板?/p>

你必须自己创?flatpages/default.html 模板?只需要在模板目录创建一?flatpages 目录，并?default.html 文件置于其中?/p>

简单页面模板只接受有一个上下文变量—?flatpage ，也就是该简单页面对象?/p>

以下是一?flatpages/default.html 模板范例:

<!DOCTYPE HTML PUBLIC "-//W3C//DTD HTML 4.0 Transitional//EN"
    "http://www.w3.org/TR/REC-html40/loose.dtd">
<html>
<head>
<title>{{ flatpage.title }}</title>
</head>
<body>
{{ flatpage.content|safe }}
</body>
</html>

注意我们使用?tt class="docutils literal">safe模板过滤器来允许flatpage.content引入原始HTML而不必转义?/p>

一个简单的 CSRF 例子

假定你已经登录到 example.com 的网页邮件账号。该网站有一个指?tt class="docutils literal">example.com/logout的注销按钮。就是说，注销其实就是访问example.com/logout?/p>

通过在（恶意）网页上用隐藏一个指?URL example.com/logout ?<iframe> ,恶意网站可以强迫你访问该 URL 。因此，如果你登?example.com 的网页邮件账号之后，访问了带有指?example.com/logout ?<iframe> 的恶意站点，访问该恶意页面的动作将使你登?example.com ?Thus, if you’re logged in to the example.com webmail account and visit the malicious page that has an <iframe> to example.com/logout , the act of visiting the malicious page will log you out from example.com .

很明显，登出一个邮件网站也不是什么严重的安全问题。但是同样的攻击可能针对任何相信用户的站点，比如在线银行和电子商务网站。这样的话可能在用户不知情的情况下就下订单付款了?/p>

稍微复杂一点的CSRF例子

在上一个例子中?example.com 应该负部分责任，因为它允许通过 HTTP GET 方法进行状态变更（即登入和登出）?如果对服务器的状态变更要求使?HTTP POST 方法，情况就好得多了?但是，即便是强制要求使用 POST 方法进行状态变更操作也易受?CSRF 攻击?/p>

假设 example.com 对登出功能进行了升级，登?<form> 按钮是通过一个指?URL example.com/logout ?POST 动作完成，同时在 <form> 中加入了以下隐藏的字段：

<input type="hidden" name="confirm" value="true">

这就确保了用简单的指向example.com/logout?tt class="docutils literal">POST 不会让用户登出；要让用户登出，用户必须通过 POST ?example.com/logout 发送请? 并且发送一个值为’true’的POST变量?confirm?/p>

尽管增加了额外的安全机制，这种设计仍然会遭到 CSRF 的攻击——恶意页面仅需一点点改进而已?攻击者可以针对你的站点设计整个表单，并将其藏身于一个不可见?<iframe> 中，然后使用 Javascript 自动提交该表单?/p>

防止 CSRF

那么，是否可以让站点免受这种攻击呢？ 第一步，首先确保所?GET 方法没有副作用?这样以来，如果某个恶意站点将你的页面包含?<iframe> ，它将不会产生负面效果?/p>

该技术没有考虑 POST 请求?第二步就是给所?POST 的form标签一个隐藏字段，它的值是保密的并根据用户进程?ID 生成?这样，从服务器端访问表单时，可以检查该保密的字段。不吻合时可以引发一个错误?/p>

这正?Django CSRF 防护层完成的工作，正如下面的小节所介绍的?/p>