Rails 用户访问插件

Question

有很多处理用户权限的 Rails 插件。 hobo gem 中的实现给我留下了深刻的印象，但我不确定是否可以仅使用此功能而不使用其他部分。 GateKeeper 是一个非常聪明的实现，但有一些错误，尽管它足够小，我可能可以自己修复它。 Restful_ACL 为您提供了一个用于检查创建的类方法，这意味着您无法对相关实例进行任何检查（不确定它是否进行作用域查找）。

我想要提供 ActiveRecord#find 范围版本的东西，它只查找允许当前用户看到的内容。 这应该足够强大，可以说您只能看到您或您的朋友之一拥有的画廊中的图片。

作为奖励，它可以防止您无权执行的创建或更新（在 before_* 或验证步骤中），包括将您自己的记录与不同的用户或图库关联，或创建此类记录。

Answer 1

您可以使用 declarative_authorization 插件在模型级别执行一些非常复杂的授权技巧。 尽管如此，我自己更喜欢 rails-authorization-plugin - 就这个您定义模型级别的角色（例如，某人是资源的所有者）和控制器级别的权限（例如，只有资源的所有者或管理员才能获取资源）。 我发现这种方法更加简洁，特别是如果您追求干净的 REST 方法。 如果您有这样的请求：

GET /posts

您真正应该返回的是所有帖子，而不仅仅是当前用户的帖子。
为此，您应该有不同的路线：

GET /users/:user_id/posts

其中 :user_id 设置为当前用户的 ID。
然后，这种差异应该反映在适当的操作中：

def index
  user = User.find(params[:user_id]) unless params[:user_id].blank?
  @posts =
   if user
    # get all posts of a user
    user.posts.all
   else
    # get all posts 
    Post.all
   end
end

现在，您真正拥有的是两个授权上下文 - “获取用户的所有帖子”和“获取所有帖子”，并且您通常希望为两者设置不同的权限（例如， “只有管理员才能获取所有帖子”和“只有用户自己或管理员才能获取用户的所有帖子”）。

Answer 2

我有一个 gem，它完全能够根据对象的角色指定对象的权限。 您可以在这里查看： http://github.com/nakajima/roleful/tree/master 。 它非常适合您暗示的那种 before_filter 方法。

至于只允许用户访问与他们有某种关系的事物，我认为您正在寻找 Rails 关联代理的主要候选者。 我喜欢 Milan Novota 的片段，尽管我会稍微修改一下：

def index
  @posts = user_repo.posts
end

private

def user_repo
  # find_by_id is **much** faster than regular find,
  # plus it just returns nil when there's no record
  if user = User.find_by_id(params[:user_id])
    # returns the association proxy
    user.posts
  else
    # returns the class
    User
  end
end

Answer 3

您可以查看锁定。 我还没有在项目中实现这一点，但它可以为您节省一些工作。

Answer 4

回想起来，我只会使用 Hobo 模式。 这是最简单、最灵活的。