12-05 检查记录归属

本章题解 · 全部练习

题目

使用 alice 保存一条书，再用 bob 的合法会话和令牌请求标记该编号；核对身份正确、令牌正确与记录归属是三个判断。

推导与做法

Bob 的登录会话和 CSRF 都有效，仍不代表他可以修改 Alice 的书。先确认身份，再确认写入令牌，最后确认目标记录的 user_id。

演示让 Bob 请求 Alice 新增书籍的 finish，得到 403；Alice 再读取，finished 仍为 False。这条检查能区分“请求没有登录”与“登录者不是记录主人”。

过程图

实现与运行

查看带注释实现。本题与相关处理函数放在同一章节代码文件中；启动工具负责定位相邻项目和选择题号。

在配套目录的 Web应用共同基础/web_project 中运行。先按项目 README 执行 uv sync --locked。

# 使用项目解释器运行本题，题号决定执行哪一组演示。
uv run python "../../学习索引/参考实现/代码/ch12.py" 12-05

程序按题号输出处理后的值、查询结果或状态。先和前面的手算比较，再修改一项输入重跑。

# 与上面的手算状态和题目数值逐项比较。
{
  "other_owner": 403,
  "alice_finished": false
}