CanCan 和数据集

Question

我已经为此苦苦挣扎了一段时间，最后我发现 CanCan 似乎不允许您授权记录集合。例如：

ads_controller.rbability.rb

def index
    @ads = Ad.where("ads.published_at >= ?", 30.days.ago).order("ads.published_at DESC")
    authorize! :read, @ads
end

。

def initialize(user)
  user ||= User.new # Guest user

  if user
    if user.role? :admin  # Logged in as admin
      can :manage, :all
    else                  # Logged in as general user
      can :read, Ad
      can :read_own, Ad, :user_id => user.id
      can :create, Ad
    end
  else                    # Not logged in (Guest)
    can :read, Ad
  end
end

当尝试访问索引操作时，这会导致未经授权的访问消息

You are not authorized to access this page.

但是，如果您更改索引操作中的授权调用以检查 Ad 类而不是像这样的集合

def index
    @ads = Ad.where("ads.published_at >= ?", 30.days.ago)
    authorize! :read, Ad
end

......它工作正常。

任何解释这一点的帮助将不胜感激。

提前致谢。

附：我最初在尝试解决这个问题时遇到了重定向循环。事实证明，有一个问题，其中包含推荐的rescue_from，您将其放入应用程序控制器中以提供不错的错误消息。如果你的root_path设置为你授权的地方！调用不正确（或失败），您将得到一个重定向循环。注释掉rescue_from 通过艰难的方式了解到这一点。

Answer 1

CanCan 并不是为这样的使用而设计的。您可以检查用户是否拥有模型类（例如Ad）或单个实例（例如@ad）的权限。

我建议您只使用 accessible_by 来过滤您的集合：

@ads = Ad.where("ads.published_at >= ?", 30.days.ago).accessible_by(current_ability) 
# @ads will be empty if none are accessible by current user

raise CanCan::AccessDenied if @ads.empty?  # handle however you like

另一种方法是根据您用于检索集合的条件定义自定义权限：

# ability.rb
can :read_ads_from_past_month, Ad, ["ads.published_at >= ?", 30.days.ago]

# in your controller
def index
  authorize! :read_ads_from_past_month, Ad
  @ads = Ad.where("ads.published_at >= ?", 30.days.ago)
end

Answer 2

我使用 splats 解决了这个问题。在此代码示例中，我尝试向用户授权 TimeOffRequests 集合。如果用户是管理员、经理或休假请求属于他们，则他们应该获得授权。

# time_off_requests_controller.rb
authorize! :read, *@time_off_requests

# Ability.rb
can :manage, TimeOffRequest do |*time_off_requests|
  membership.has_any_role?(:admin, :manager) ||
    time_off_requests.all? { |tor| membership.id == tor.employee_id }
end

如果您有兴趣，我在这里详细写了它：http://zacstewart.com/2012/01/08/defining-powered-for-collections-of-records-using-cancan.html