设计和当前用户

Question

我已设置 Devise 来管理我的应用程序的身份验证。

我有一个类别模型，用户可以在其中创建自己的类别。用户 has_many ：类别。该模型具有 user_id 属性，因此当有人登录并转到类别/索引时，查询将使用 current_user.id 从控制器引入类别，以过滤出要引入的类别。

到目前为止，一切顺利并且运行良好，似乎没有人能够看到其他人的类别，但说实话，除非我错过了一些东西，否则这似乎有点不安全。我怎么知道某些黑客不会弄清楚并发送自己的修改参数的请求？

这是可能的还是我偏执？另外，我可能没有正确使用该功能？

Answer 1

假设您在 users 和 categories 之间使用正确的关系，即

# in User.rb
has_many :categories

# in Category.rb
belongs_to :user

您应该能够在控制器中使用类似的内容：

@categories = current_user.categories

这样您就可以使用当前用户无论传递什么参数，它都只会获取他们的画廊。您不再通过可能不安全的 user_id 进行搜索。

如果您担心某人能够查看不属于他们的类别，您可以添加自己的私有方法，类似于 :authenticate_user! 以确保正在显示或编辑的类别确实属于到当前用户，像其他用户一样在 before_filter 中运行它，如果他们没有权限则重定向。

  private
  def authenticate_owner!
    if user_signed_in? && current_user.id == params[:id] # or something similar
      return true
    end
    redirect_to root_url,
      :notice => "You must have permission to access this category."
    return false
  end

Answer 2

我认为您的关系设置是一对一（每个用户一个类别）而不是一对多（每个用户多个类别）。如果您的 User 模型中有一个 category_id，则您应该进行以下设置。

# in User.rb
belongs_to :category

# in Category.rb
has_many :users

# in CategoriesController
@category = current_user.category

如果您希望每个用户有多个类别，那么我建议使用带有 user_id 和 category_id 的链接表（如模型 UserCategory）。

# in UserCategory.rb
belongs_to :user
belongs_to :category

# in User.rb
has_many :user_categories
has_many :categories, :through => :user_categories

# in Category.rb
has_many :user_categories
has_many :users, :through => :user_categories

然后，在您的 Category 控制器中，您可以使用上面的代码来获取给定用户的所有类别。

# in CategoriesController.rb
@categories = current_user.categories

Answer 3

根据乔什的回答，我只是将其变成了 if else 语句。我将 params[:id] 转换为整数，因为 current_user.id 返回 1。

class UsersController < ApplicationController
  before_filter :authenticate_owner!
  #....
  private
  def authenticate_owner!
    if user_signed_in? && current_user.id == params[:id].to_i
      return
    else
      redirect_to root_url, :notice => "You must have permission to access this page."
    end
  end
end