如何使用cancan对一系列资源进行授权？

Question

我有一个非静态控制器，我正在尝试使用 cancan 授权！方法来应用权限。

我有一个 delete_multiple 操作，其启动方式如下，

def delete_multiple
    @invoices = apparent_user.invoices.find(params[:invoice_ids])

我想在继续之前检查用户是否有权删除所有这些发票。如果我使用

authorize! :delete_multiple, @invoices

许可被拒绝。我的ability.rb 包括以下内容

if user.admin?
  can :manage, :all
elsif user.approved_user?
  can [:read, :update, :destroy, :delete_multiple], Invoice, :user_id => user.id
end

这是循环遍历我的数组并单独调用授权的问题还是有更智能的处理方法？我开始觉得手动授权比使用 cancan 来处理复杂的非静态控制器更容易（尽管我的应用程序中有很多其他静态控制器，效果很好）。

Answer 1

这里有点晚了，但你可以在你的能力类中写这个

can :delete_multiple, Array do |arr|
  arr.inject(true){|r, el| r && can?(:delete, el)}
end

编辑

这也可以写成：

can :delete_multiple, Array do |arr|
  arr.all? { |el| can?(:delete, el) }
end

Answer 2

似乎 authorize! 仅适用于单个实例，不适用于数组。以下是我使用 Rails 3.2.3 和 CanCan 1.6.7 解决这个问题的方法。

基本思想是计算用户尝试删除的总记录数，计算 accessible_by (current_ability, :destroy) 的记录数，然后比较计数。

如果您只想要一个用户有权销毁的记录数组，则可以使用 accessible_by (current_ability, :destroy) 返回的数组。不过，我使用的是 destroy_all，它直接作用于模型，所以我最终得到了这个计数和比较解决方案。

值得检查开发日志以查看两个 SELECT COUNT 语句的外观：第二个语句应为 CanCan 施加的授权限制添加 WHERE 短语。

我的示例涉及删除多条消息。

能力.rb

if user.role_atleast? :standard_user
  # Delete messages that user owns
  can [:destroy, :multidestroy], Message, :owner_id => user.id
end

messages_controller.rb

# Suppress load_and_authorize_resource for actions that need special handling:
load_and_authorize_resource :except => :multidestroy
# Bypass CanCan's ApplicationController#check_authorization requirement:
skip_authorization_check :only => :multidestroy

...

def multidestroy
  # Destroy multiple records (selected via check boxes) with one action.
  @messages = Message.scoped_by_id(params[:message_ids]) # if check box checked
  to_destroy_count =  @messages.size
  @messages = @messages.accessible_by(current_ability, :destroy) # can? destroy
  authorized_count =  @messages.size

  if to_destroy_count != authorized_count
    raise CanCan::AccessDenied.new # rescue should redirect and display message
  else # user is authorized to destroy all selected records
    if to_destroy_count > 0
      Message.destroy_all :id => params[:message_ids]
      flash[:success] = "Permanently deleted messages"
    end
    redirect_to :back
  end
end