Python Django 5请求约束怎么做_使用require_http_methods限定请求-Python教程-PHP中文网

require_http_methods仅校验request.method是否在指定大写字符串列表中，不匹配则直接返回HTTP 405；它不处理请求体、权限或CSRF，异步视图可用，类视图需method_decorator包装dispatch方法。

python django 5请求约束怎么做_使用require_http_methods限定请求

require_http_methods 只接受指定 HTTP 方法，不满足就返回 405

直接用 require_http_methods 装饰视图函数，就能在请求方法不匹配时自动返回 HttpResponseNotAllowed（HTTP 405），而不是让逻辑继续执行。它不校验请求体、参数或权限，只管 request.method 字符串是否在白名单里。

常见错误现象：明明写了 @require_http_methods(["GET"])，但用 POST 访问却没报错——大概率是装饰器没生效，比如写在了函数定义之后、或者被其他装饰器顺序干扰（如 @csrf_exempt 在它上面且未处理 method 检查）。

参数必须是全大写的字符串列表，["get"] 或 ["Get"] 都无效，只能是 ["GET"]
如果视图本身是异步函数（async def），require_http_methods 仍可正常使用，Django 5 已支持异步装饰器链
它不阻止 OPTIONS 请求，浏览器预检请求仍会到达视图——如需处理 CORS 预检，得额外配合 django-cors-headers 或手动响应

require_GET / require_POST 是 require_http_methods 的语法糖

require_GET 等价于 require_http_methods(["GET"])，require_POST 等价于 require_http_methods(["POST"])，语义更清晰，代码更短。但它们没有额外功能，也不比原生版本快或安全。

使用场景：当逻辑明确只读（如渲染列表页）、只写（如提交表单）时，优先选这两个简写。它们能减少拼写错误风险，也方便后续搜索（比如 grep require_GET 快过 grep require_http_methods）。

Secure Python Code Sandbox

安全 Python 代码沙箱：在隔离的沙箱中执行任意 Python 代码，预装 requests、NumPy、pandas 库。返回 stdout、stderr。

下载

require_safe 是 require_http_methods(["GET", "HEAD"]) 的别名，适合首页、API 文档页等纯读取场景
注意：HEAD 请求会被正常路由到视图，Django 不会自动剥离响应体；你得自己在视图里判断 request.method == "HEAD" 并提前 return，否则可能触发无意义的 ORM 查询
不要在类视图的方法上直接套 require_GET——它只适用于函数视图；类视图要用 method_decorator 包一层

CSRF 中间件和 POST 约束容易互相干扰

如果你加了 @require_POST 却收不到数据，或者返回 403，大概率是 CsrfViewMiddleware 在 POST 前就拦截了请求。CSRF 校验发生在 method 检查之前，所以即使你限制了只允许 POST，CSRF 失败也会先报 403，根本轮不到 require_POST 发挥作用。

调试时先临时注释掉 'django.middleware.csrf.CsrfViewMiddleware'，确认是否为 CSRF 导致——但上线前必须恢复
前端发 POST 时，确保带上了有效的 X-CSRFToken header 或表单中包含 {% csrf_token %}
对 API 接口，建议用 @csrf_exempt + @require_POST 组合，但要自行保证接口安全（如 token 验证）

类视图里用 require_http_methods 要包一层 method_decorator

类视图的 get()、post() 方法是实例方法，不能直接加函数装饰器。必须用 method_decorator 把 require_http_methods 转成适用于方法的装饰器。

from django.views.decorators.http import require_http_methods
from django.utils.decorators import method_decorator
from django.views import View

@method_decorator(require_http_methods(["GET", "HEAD"]), name="dispatch")
class MyView(View):
    def get(self, request):
        return render(request, "page.html")

容易踩的坑：

别写成 @method_decorator(require_http_methods(["GET"]), name="get")——这样只约束了 get 方法，但用户仍可用 POST 访问 dispatch，绕过限制
如果类里同时定义了 get 和 post，又只想允许 GET，就该约束 dispatch，而不是分别约束两个方法
Django 5 中，method_decorator 支持异步方法，但装饰器本身不能是 async 函数；require_http_methods 是同步的，没问题