Django：如何禁止用户手动输入URL访问页面并实现重定向？

嘿，这个需求我碰到过好多次啦，给你分享几个靠谱的方案，分后端和前端两种，优先推荐后端的哈～

既然你提到了login_required，估计是用Python的Web框架（比如Django或Flask）开发的吧？后端验证是核心，因为前端的方法很容易被绕过，后端拦才是真的安全。

• Django 实现：
  你可以自己写一个装饰器，检查请求的来源（HTTP_REFERER）是不是你的首页，或者结合会话（session）来做更可靠的验证：

  from django.shortcuts import redirect
  from functools import wraps
  
  def home_referer_required(view_func):
      @wraps(view_func)
      def wrapper(request, *args, **kwargs):
          # 方案1：检查请求来源
          referer = request.META.get('HTTP_REFERER')
          # 方案2：结合session（更可靠，避免referer丢失的情况）
          # 先在首页按钮的点击逻辑里设置session：request.session['allow_other'] = True
          # allowed = request.session.get('allow_other', False)
          
          if referer and 'somepage.com/home' in referer:
              # 如果用session的话，这里可以用完就删掉标记，避免重复使用
              # del request.session['allow_other']
              return view_func(request, *args, **kwargs)
          # 不符合条件就重定向回首页
          return redirect('home')  # 替换成你首页的URL名称或路径
      return wrapper
  

  然后把这个装饰器加到你的/other视图上：

  @home_referer_required
  def other_page(request):
      return render(request, 'other.html')
  

• Flask 实现：
  Flask的思路和Django差不多，自定义装饰器就行：

  from flask import redirect, request, url_for
  from functools import wraps
  
  def home_referer_required(f):
      @wraps(f)
      def decorated_function(*args, **kwargs):
          referer = request.referrer
          # 同样可以结合session：session['allow_other'] = True（在首页跳转时设置）
          if referer and 'somepage.com/home' in referer:
              return f(*args, **kwargs)
          return redirect(url_for('home'))  # 首页的视图函数名
      return decorated_function
  

  使用方式：

  @app.route('/other')
  @home_referer_required
  def other():
      return render_template('other.html')
  

如果暂时没办法改后端，也可以用前端JS做个基础拦截，但要知道这种方式很容易被绕过（比如用户禁用JS或者直接改代码），所以只能作为后端验证的补充。

两种思路：

• 检查页面来源：

  window.addEventListener('DOMContentLoaded', function() {
      const referrer = document.referrer;
      // 验证来源是否是首页
      if (!referrer.includes('somepage.com/home')) {
          window.location.href = 'https://somepage.com/home';
      }
  });
  

• 自定义跳转参数：
  在首页的跳转按钮上，让它跳转到someplace.com/other?from=home，然后在/other页面检查这个参数：

  window.addEventListener('DOMContentLoaded', function() {
      const urlParams = new URLSearchParams(window.location.search);
      const from = urlParams.get('from');
      if (from !== 'home') {
          window.location.href = 'https://somepage.com/home';
      }
  });
  

• 一定要以后端验证为主：前端的拦截都是“表面功夫”，懂技术的用户很容易绕过去，后端才是真正的防线。
• 注意HTTP_REFERER的局限性：有些浏览器隐私设置会清空这个头，所以结合session的方式更稳定——用户点击首页按钮时，后端给session打个标记，访问/other时检查这个标记，用完就删掉。
• 跨域问题：如果somepage.com和someplace.com是不同域名，要注意跨域session共享的问题，可能需要用JWT或者其他跨域身份验证方案。

内容的提问来源于stack exchange，提问作者kebie