jquery ui 自动完成、rails3 和 CanCan 模型访问问题

Question

我的 Rails 应用程序中有 CanCan 定义的各种角色。我最近实现了 jQuery UI 自动完成并且效果很好。问题是，当我提交表单时，模型中出现的 find_by_name 可以找到不属于 current_user 的记录。我的观点如下：

<strong><%= f.label :inventory_name, "Material" %></strong>
<%= f.text_field :inventory_name, :class => "inputbox" %><br>

我的 jQuery 看起来像：

jQuery("input[id$=_inventory_name]").autocomplete({
  source: '/ajax/inventory',
  minLength: 2
});

然后我有一个 ajax 控制器可以做正确的事情：

def inventory
  inventory = Inventory.accessible_by(current_ability)
  if params[:term]
    like= "%".concat(params[:term].concat("%"))
    names = inventory.where("name LIKE ?", like)
  else
    names = inventory
  end

  list = names.map {|u| Hash[ :id => u.id, :label => u.name, :name => u.name]}
  render :json => list
end

但我的模型没有：

def inventory_name=(name)
  inventory = Inventory.find_by_name(name)
  if inventory
    self.inventory_id = inventory.id
  else
    errors[:inventory_name] << "Invalid name entered"
  end
end
def inventory_name
  Inventory.find(inventory_id).name if inventory_id
end

find_by_name 将返回它找到的第一个匹配项，无论谁拥有它。理想情况下我想更改为：

inventory = Inventory.find_by_name(name)

但是

inventory = Inventory.accessible_by(current_ability).find_by_name(name)

这违反了 MVC 的原则，更不用说模型无法访问 current_ability、current_user 等。所以我的问题是，如何将此逻辑移至我可以访问这些内容的控制器中？我似乎无法理解它:(

Answer 1

我认为您需要做的就是让控制器中的创建和更新操作检查 Inventory.accessible_by(current_ability)。

Answer 2

我最终需要一个前后过滤器：

after_filter :save_new_project_inventory, :only => [:create]
before_filter :update_project_inventory, :only => [:create, :update]

...

private
def save_new_project_inventory
  # do this in an after filter so that
  # we will have a project.id
  @project_inventories.each { |key, value|
    value[:project_id] = @project.id
    ProjectInventory.create!(value)
  }
end

def update_project_inventory
  @project_inventories = {}
  params[:project][:project_inventories_attributes].each { |key, value|
    if value[:_destroy] != "false"
      project_inventory = ProjectInventory.find(value[:id])
      project_inventory.delete
    else
      if value[:id]
        project_inventory = ProjectInventory.find(value[:id])
        project_inventory.inventory_id = inventory_name(value[:inventory_name])
        project_inventory.save
      else
        if @project.nil?
          # can't save here because we need a project.id that we
          # won't have until after we save, so finish up in the
          # after filter
          @project_inventories[key] = {
            :inventory_id => inventory_name(value[:inventory_name])
          }
        else
          project_inventory = ProjectInventory.new
          project_inventory.inventory_id = inventory_name(value[:inventory_name])
          project_inventory.project_id = params[:id]
          project_inventory.save
        end
      end
    end
  }
  params[:project].delete(:project_inventories_attributes)
end

def inventory_name(name)
  inventories = Inventory.accessible_by(current_ability)
  inventory = inventories.find_by_name(name)
  if inventory
    inventory.id.to_s
  end
end

我不确定这是否是最好的方法，但它有效。

Answer 3

我知道这已经很旧了，但我遇到了完全相同的问题，直到现在才被难住。我最终为其他人提供了一个更简单的解决方案。

在我的示例中， current_user 创建一个作业，并且该作业需要为其分配一个客户（也属于当前用户）。 jQuery UI 自动完成用于搜索客户，当然我只希望属于当前用户的客户可分配给正在创建的作业，与原始问题中的情况非常相似。我的最终解决方案只是将 user_id 的隐藏字段添加到新作业表单中，并在调用新操作时用 user_id 填充。

JobsController
def new
  @job = current_user.jobs.new(user_id: current_user.id)
end

这样，在模型中，我们可以使用 self.user_id 获取 user_id （获取隐藏字段中的值），然后将其用作查找的搜索条件的一部分。为了便于阅读，我已将 self.user_id 分配给变量“user”。

JobModel
def customer_name=(fullname)
  user = self.user_id
  self.customer = Customer.find_by(fullname: fullname, user_id: user) 
end

就这么简单，现在除非搜索词（在本例中为：fullname）和 user_id 在 Customer 模型中匹配，否则不会返回结果，并且用户需要重试，即使记录具有相同的全名存在于具有不同 user_id 的 Customer 模型中，不会返回。

希望这有帮助。

编辑：记住将 user_id 添加到允许的参数中。