如何防止访问属于不同用户的记录

Question

如何防止基于会话变量访问特定的记录集？

即我有一个带有 user_id 键的项目表，如何根据 user_id 过滤对项目的访问。我不希望有人能够访问 /items/3/edit ，除非该项目有其用户 ID（基于会话变量）

更新： 我正在使用 @fl00r 建议的答案，进行一项更改，使用 find_by_id() 而不是 find()，因为它返回 nil 并且可以很好地处理：

@item = current_user.items.find_by_id([params[:id]]) || item_not_found

其中 item_not_found 在应用程序控制器中处理，只会引发路由错误。

Answer 1

通过 current_user 对象获取项目来限制访问（User 应该 :has_many => :items），

# ItemsController
def edit
  @item = current_user.items.find(params[:id])
  ...
end

其中 current_user是一种 User.find(session[:user_id])

UPD

有用的 Railscast: http://railscasts.com/episodes/178-seven-security-tips，提示#5

Answer 2

您可以在show/edit/update方法中检查访问权限：

def edit
  @item = Item.find(params[:id])
  restrict_access if @item.user_id != current_user.id
  ....
end

并添加restrict_access方法，例如在application_controller中

def restrict_access
  redirect_to root_path, :alert => "Access denied"
end