从 lib/ 中的文件获取 Rails 中的当前请求

Question

我已将所有用户身份验证代码放在一个位置，即 lib/auth.rb。 它看起来像这样：

lib/auth.rb

module Admin

  def do_i_have_permission_to?(permission)
    # Code to check all of this goes here
  end

end

我将此模块作为应用程序助手的一部分包含在内，因此这些函数在所有视图中都可用：

application_helper.rb

require 'auth'
module ApplicationHelper
  include Admin
  # other stuff here
end

并且我还将其作为应用程序控制器的一部分包含在内，因此控制器同样可以调用以下函数：

application.rb

require 'auth'
class ApplicationController < ActionController::Base
  include Admin
end

到目前为止，一切顺利。

问题是我的应用程序不像普通的网络应用程序。 具体来说，多个用户可以同时从同一台计算机（使用相同的浏览器）登录系统。 我通过查看从该 IP 登录的所有人员来对操作进行身份验证，如果他们都能做到这一点，则通过。

这意味着，如果管理员想要做某事，则该管理员必须先将其他人注销，这很烦人。 但我们希望管理员所做的一切都得到管理员的批准。 因此，给我的建议是拥有它，以便管理员可以在他们通常无法访问的任何页面上提供用户名/密码组合（例如“编辑用户”页面将具有这些额外的输入字段）并且身份验证例程将检查一下。 这意味着

Admin::do_i_have_permission_to?(permission)

需要获取当前请求参数。 我不能像在控制器中那样使用 params[:foo] ，因为 params 没有定义； 同样 request.parameters[:foo] 也不起作用。 我的搜索显示：

• 当前搜索参数在当前请求中，
• 当前请求在当前控制器中，
• 当前控制器在当前调度程序中，并且
• 我不确定当前调度程序保存在任何地方。

也就是说，经验告诉我，当我经历这么多的困难时，我很可能做错了。 那么正确的做法是什么呢？ 我考虑过的选项是：

• 只需将 auth.rb 中当前的所有函数移至 ApplicationHelper 中（我认为）它们就可以访问请求等。 有效，但是让助手变得混乱。
• 将所有函数移到其他地方，他们会看到这些方法（我不知道在哪里），
• 我只是缺少一些东西。

Answer 1

在典型的 Rails 应用程序中，身份验证信息存储在活动会话中，而不是参数中。 因此，编写一个执行您想要的操作的助手非常简单。

创建一个模块然后将其包含在 ApplicationHelper 中似乎相当不正统。 传统的方法是创建一个单独的帮助程序，在本例中可能称为 AuthenticationHelper。 然后可以将其包含在任何所需的控制器中，或者如果您愿意，可以将其加载到 ApplicationController 中以使其普遍可用。

一般来说，Helpers 不应该包含其他Helpers。 最好简单地将多个助手加载到给定的控制器中。

辅助方法可以完全访问在其操作的控制器上下文中声明的任何实例变量。 具体来说，这些只是实例变量（@name），而不是局部变量（name）。 辅助方法也会针对特定视图执行。

此外，我不确定为什么用户会在同一步骤中提供凭据并执行操作，至少对于传统的基于网络的应用程序来说是这样。 通常该过程是登录然后单独执行操作。

然而，对于每个事务都是独立操作的 API，最直接的方法是提取处理身份验证的相关请求参数，建立一些控制器实例变量，然后继续执行给定的特定请求凭证施加的限制。

对于此类事情，我通常遵循的方法是在 ApplicationController 本身中分层分层身份验证结构，该结构可以执行所需的检查。 这些是受保护的方法。

虽然很想卷入一大堆，例如 can_edit_user？ 和can_create_group？ 这些很快就会失控。 为通用 can_perform 添加一个钩子是一个更简单的设计？ 或有权限？ 传递操作和任何所需参数的方法。

例如，一个非常粗略的实现：

  class ApplicationController < ActionController::Base
  protected
    def has_authority_to?(operation, conditions = { })
      AuthenticationCheck.send(operation, conditions)
    rescue
      false
    end
  end

  module AuthenticationCheck
    def self.edit_user?(conditions)
      session_user == conditions[:user]
    end
  end

  class UserController
    # ...

    def edit
      @user = User.find(params[:id])

      unless (has_authority_to?(:edit_user, :user => @user))
        render(:partial => 'common/access_denied', :status => :forbidden)
      end
    rescue ActiveRecord::RecordNotFound
      render(:partial => 'users/not_found')
    end
  end

显然，您希望将大量权限检查滚动到 before_filter 块中，以避免重复并促进一致性。

完整的框架示例可能会有更多帮助，例如腕带用户身份验证系统：

http:// github.com/theworkinggroup/wristband/tree/master