我应该如何验证对 Active Record 对象的访问？

Question

这似乎是一项简单的任务，但我很难找出“轨道”的方法来完成它。

我正在使用 Authlogic 来验证用户，每个用户都有_many：博客、：图片等。我不知道该怎么做是将用户 A 的博客的访问（显示/更新/编辑/删除）限制为用户 A 。

看来我有三个选择

1. 将条件 (user_id == current_user.id) 添加到我的所有 Find 语句中
2. 使用 before_filter 完成上述
3. 操作 使用 default_scope 附加此身份验证条件（但我认为当我去编写测试时这会很痛苦）。

其他人认为解决这个问题的最佳方法是什么？

作为一个附加问题，假设用户 has_many :blogs、博客 has_many :sections 和部分 has_many :images 的情况。在这种情况下，属于博客的所有元素都需要限制为用户 A，但只有博客具有 user_id 列。将相同的身份验证条件附加到部分和图像的最有效/优雅的方法是什么？

谢谢， 麦克风

Answer 1

另一种选择是使用 cancan gem。 https://github.com/ryanb/cancan

这真的很简单，你也可以解决你的奖金问题。

例如：

can :manage, Blog, :user_id=>user.id
can :manage, Section, :blog=>{:user_id=>user.id}
can :manage, Image, :section=>{:blog=>{:user_id=>user.id}}

如果您有，则此设置很好。

Blog belongs_to User
Section belongs_to Blog
Image belongs_to Section

有关如何设置其余部分，请参阅 Wiki 。

哦，我忘了还有一个关于 cancan 的截屏视频

Answer 2

将 before_filter 与检查用户是否经过身份验证的函数一起使用。