Creación de Aplicaciones Web en Django y Python

1. Un visitante sin sesión abre `/producto/taza-pyshop/resena/`, cuya vista tiene `@login_required`. ¿Qué responde Django?

• 404, porque la página no existe para anónimos
• 403, porque el usuario no tiene permiso
• 200 con el formulario vacío
• 302 a la página de login, con la URL original en el parámetro `next`

`login_required` redirige a los anónimos al login con un 302 y guarda la página pedida en `next`: `/cuentas/login/?next=/producto/taza-pyshop/resena/`. Tras iniciar sesión, el usuario vuelve ahí.

2. Con un cliente que exige el token (`Client(enforce_csrf_checks=True)`), se envía un POST al formulario de reseñas sin `{% csrf_token %}`. ¿Qué ocurre?

• Django responde 403 y la reseña no se guarda
• La reseña se guarda, pero sin autor
• Django responde 302 al login
• El formulario muestra «Este campo es obligatorio.»

El middleware CSRF rechaza el POST con un 403: el token prueba que el formulario salió del propio sitio y no de una página ajena que intenta actuar en nombre del usuario.

3. `ResenaForm` es un `ModelForm` de `Resena`, cuya calificación tiene `MinValueValidator(1)` y `MaxValueValidator(5)`. Si se envía una calificación de 9, ¿qué pasa?

• Se guarda y Django la recorta a 5
• `is_valid()` devuelve False y el formulario se muestra con un error en la calificación
• La base de datos lanza un error 500
• Se guarda, porque los validadores solo funcionan en el admin

El ModelForm hereda los validadores del modelo: `is_valid()` devuelve False, la vista vuelve a mostrar el formulario (200) con «Asegúrese de que este valor es menor o igual a 5.» y no se guarda nada.

4. ¿Cómo guarda Django la contraseña `pyshop-ana-2026` de la usuaria `ana`?

• En texto plano, en la tabla de usuarios
• Cifrada con la `SECRET_KEY`, de modo que se puede descifrar
• Solo en la cookie de sesión del navegador
• Como un hash `pbkdf2_sha256` con 1,000,000 iteraciones

Django guarda un hash, no la contraseña: el campo `password` empieza con el algoritmo `pbkdf2_sha256` y en Django 5.2 usa 1,000,000 iteraciones. Para comprobarla se calcula el hash de lo que se escribe y se compara.

5. En `nueva_resena`, la vista llama a `form.save(commit=False)`, asigna `resena.autor = request.user` y luego `resena.save()`. ¿Por qué el autor no es un campo del formulario?

• Porque un ModelForm no admite campos `ForeignKey`
• Porque el usuario se toma de la sesión y no de datos que el cliente podría alterar
• Porque `commit=False` borra los campos que no son texto
• Porque el admin asigna el autor después

El autor debe salir de la sesión del servidor. Si fuera un campo del formulario, cualquiera podría alterarlo y publicar a nombre de otro usuario; `commit=False` permite completar esos datos antes de guardar.