15-04 限制另一项后台动作

题目

建立一个只有查看权限的维护组，分别核对菜单、列表、直接编辑地址与 POST 请求。

推导与做法

维护组只授予 library.view_book，并让账号 is_staff=True 进入后台。菜单和列表可以显示，详情 GET 可以作为只读页面查看，但不能出现有效的保存能力。

题解分别请求后台首页、列表、change 地址和 POST。只读详情返回 200 并不意味着可修改，真正 POST 应得到 403，随后查询标题保持原样。

过程图

%% 每个节点保留输入、执行位置或执行后的实际状态。 flowchart TD S0["维护员只有view_book权限"] S1["后台菜单与列表可看"] S0 --> S1 S2["详情以只读形式显示"] S1 --> S2 S3["POST编辑被拒403，标题不变"] S2 --> S3 classDef default fill:#EEF0FB,stroke:#4657B5,color:#24324A linkStyle default stroke:#4657B5

实现与运行

查看带注释实现。本题与相关处理函数放在同一章节代码文件中；启动工具负责定位相邻项目和选择题号。

在配套目录的 Django/reading_project 中运行。先按项目 README 执行 uv sync --locked。

# 使用项目解释器运行本题，题号决定执行哪一组演示。
uv run python "../../学习索引/参考实现/代码/ch15.py" 15-04

程序按题号输出处理后的值、查询结果或状态。先和前面的手算比较，再修改一项输入重跑。

查看本题运行结果

# 与上面的手算状态和题目数值逐项比较。
{
  "menu": 200,
  "list": 200,
  "readonly_detail": 302,
  "POST": 403,
  "title_unchanged": true
}