Rails ACL 设计问题

Question

我正在开发旧版 Rails 代码库，需要实现一些 ACL 逻辑，该逻辑不是基于对象上的标准 CRUD 操作，而是基于有关向不同用户组显示页面的哪些部分的自定义逻辑。这些页面“部分”不是由数据库中的任何对象定义的，因此我的猜测是基于对象的 ACL 系统可能不是最适合这里的。

我目前正在研究 declarative_authorization 但尚未确定它是否可以执行除基于对象的权限之外的任何操作。

这肯定是 Web 应用程序的一个相当常见的用例，我不想再滚动另一个 ACL。有谁对适合此目的的第三方库有建议吗？

Answer 1

我认为 CanCan 可以帮助你。它使用起来很简单，并且应该可以满足您的需要。这是 RailsCast：CanCan 授权

Answer 2

我已经浏览了一大堆不同的授权和 ACL 插件，和你一样，我不喜欢它们大多数使用的 CRUD 方法。

最后，最适合我的是类似于Redmine使用的设置。我不知道它是否源自任何命名插件，但我花了一些时间来理解它并针对我的情况进行了必要的调整。

基本上，它的作用是允许使用全局或特定模型的控制器和操作。首先指定可分配哪些不同的权限：

MyApplication::ACL.mapper do |map|
  map.permission :view_project,   {:projects => :show}
  map.permission :manage_project, {:projects => [:update, :edit, :post_status]}
  map.permission :delete_project, {:projects => :destroy}
end

下一步是将一个或多个权限分配给角色，该角色是一个具有序列化字段的模型，可以存储权限，即：

<#Role id: 1 name: "Intern" permissions: [:view_project] >
<#Role id: 2 name: "Member" permissions [:view_project, :manage_project] >

然后通过成员资格将不同的角色与用户映射模型。成员资格还可以与特定模型（例如项目）映射，因为您可能被允许管理一个项目，但不能管理另一个项目，或者它可以是全局的，例如某些应该受到限制的索引操作，但您不知道要授权哪个模型还反对。

在控制器中，您可以使用以下方法验证所有这些：

  before_filter :authorize, :only => [:show, :update, :edit,
                                      :post_status, :destroy]

授权当然是一种方法，用于检查当前用户是否是具有当前控制器和操作所需权限的任何角色的成员。

虽然这里有很长的描述，但仅简单介绍了它的工作原理:) 它比其他 ACL 插件复杂得多，但我认为它是最“干净”的替代方案，同时仍然允许我需要的灵活性。