使用 cancan 阻止访问控制器

Question

我有一个管理控制器，我希望只有定义为管理员的用户才能访问该控制器。

我的能力类别：

class Ability
  include CanCan::Ability

  def initialize(user)
    if user.admin?
      can :manage, :all
    else
      can :read, :all
    end
  end
end

我的管理控制器：

class AdminController < ApplicationController
  load_and_authorize_resource

  def index
  end

  def users_list
  end
end

当我尝试访问 /admin/users_list （无论是否有管理员用户）时，我收到以下错误：未初始化的常量 Admin

什么我做错了吗？这是限制对控制器的访问的正确方法吗？

Answer 1

这是因为当您使用 load_and_authorize_resource 时，您的控制器必须由名为 Admin 的模型支持（因为您的控制器称为 AdminController）。因此，您需要创建此模型或将 load_and_authorize_resource 替换为：

授权资源：类=>错误

会导致针对您的操作而不是模型进行访问检查。请注意，不幸的是，这会导致通用访问符号（例如 :manage 和 :read）停止工作，要求您直接在 ability.rb 中引用控制器操作>：

可以[:index,:users_list],:admin

其中第一个参数是用户可以访问的控制器操作数组，第二个参数是控制器的短名称

Answer 2

您可以在控制器中添加授权

authorize_resource :class => false

，或者

authorize_resource :class => :controller

然后更改您的 app/models/Ability.rb 文件

can :manage, :controller_name

请参阅 这个

Answer 3

检查此项以添加非 RESTful 控制器的授权规则：

https://github。 com/ryanb/cancan/wiki/Non-RESTful-Controllers

希望这会有所帮助。

Answer 4

这是因为当您创建通用控制器时，放入 load_and_authorize_resource ，然后应用程序控制器或管理控制器无法找到它来自的实际类，如本例所示。这会起作用。

class Admin::HomeController < Admin::ApplicationController
    def home    
    end
  end

  class Admin::ApplicationController < ApplicationController
    load_and_authorize_resource :class => self.class
  end

Answer 5

我有同样的问题。我的解决方案是定义一个不能的能力。我不再定义只有管理员可以执行的操作，而是定义非管理员用户不能执行的操作。在您的代码中将是这样的：

管理控制器：

class AdminController < ApplicationController
 authorize_resource :class => AdminController

 def index
 end

 def users_list
 end
end

capability.rb：

class Ability
 include CanCan::Ability

 def initialize(user)
  if user.admin?
   can :manage, :all
  else
   can :read, :all
   cannot [:index, :users_list], AdminController
  end
 end
end