如何限制在 Ruby on Rails 中创建帖子的特定用户进行编辑？

Question

我已经使用 ruby​​ 创建了一个消息发布功能，我现在遇到的问题是编辑帖子的功能可用，但无论是谁发布了原始帖子，任何单个用户都可以访问它。我怎样才能使编辑“链接”只能由原始海报查看或访问或使用。如果需要任何代码请询问，谢谢。

这是我现在得到的错误：

undefined local variable or method `current_user' for #<ActionView::Base:0x4cdbb48>
Extracted source (around line #7):

4:     <dd>
5:     <%= car.name %><br />
6:     <%= car.description %><br />
7:     <%= link_to('edit', edit_post_path(@car)) if current_user.cars.include?(@car) %>
8:     <%= link_to "Delete", 
9:     :controller => :car, 
10:    :action => :delete,

Answer 1

如果您有办法获取用户对象，那么您应该与您的帖子建立如下关系：

class User < ActiveRecord::Base
  has_many :posts
end

class Post < ActiveRecord::Base
  belongs_to :user
end

这可以让您获取并构建以用户为范围的帖子，如下所示：

User.find(1).posts #=> [<Post id:1>, <Post id:2>, <Post id:4>]

Enumerable#detect 可以循环遍历数组并返回第一个项目在块中评估为 true，如下所示：

@post = User.find(1).posts.detect do |post|
  post.id == 4
end
@post #=> <Post id:4>

大多数 Rails 应用程序都有某种帮助程序来访问当前登录的用户。如果没有，我建议您在 application_controller 中放置一个，如下所示：

def current_user
  @current_user ||= User.find(whatever_you_do_to_get_the_logged_in_user)
end

将编辑和更新操作中的查找范围限制为用户拥有的帖子，如下所示：

def edit
  @post = current_user.posts.detect{|p| p.id == params[:id] }
end

并在您的视图中：

<%= link_to('edit', edit_post_path(@post)) if current_user.posts.include?(@post) %>

Answer 2

您需要将帖子链接到模型中的创建用户，并检查编辑操作中的所有权和/或权限。

最好使用 cancan gem 来处理权限，并查看 这个railscast 使用它来实现与您的需求非常相似的保护。

Railscast 将 cancan 与 authlogic 结合使用，但它也可以与其他身份验证一起使用。