Rails 3 限制访问，以便用户只能更新他们的数据

Question

这看起来应该是相当简单的事情，因为它会被很多需要。我检查用户是否正常登录，但一旦用户登录，他们可能会更改其他人的帐户。例如：假设 ID 为 1 的用户已登录，并且他们将 /users/2/edit 作为 url。这将向他们显示用户 2 的数据并允许他们修改它。当然，我可以更改控制器中的编辑操作以使用类似这样的操作...

  def edit
    @user = User.find(current_user.id)
  end

其中 current_user 在控制器中设置，因此用户始终是登录的人。如果您只有几个带有几个动作，但如果你有很多动作，可能会很痛苦。似乎应该有一种方法可以在全球范围内限制这种情况，以便用户无论使用什么操作或控制器都只能更新自己的数据。

有没有办法限制用户只能使用自己的数据进行所有操作？

Answer 1

在您的 application_controller.rb 中，您可以尝试以下操作：

class ApplicationController < ActionController::Base
  before_filter :validate_user

  private

  def validate_user() #might need to pass id and current_user
    if current_user.id == params[:id]
      # continue to current_user url
    else
        flash[:error] = "Please access one of your own pages"
        redirect_to(:back)
    end
  end
end

通过将内容放入应用程序控制器中，它应该在所有控制器中可用，但是如果您不需要确认这是当前用户（例如主页），那么您可以需要在任何需要它的特定控制器（针对特定操作）中使用skip_before_filter，例如在页面控制器中使用skip_before_filter

class PagesController < ApplicationController
  skip_before_filter :validate_user, :only => [:home, :about]
end

。 href="http://guides.rubyonrails.org/action_controller_overview.html#filters" rel="nofollow">过滤器上的 Rails 指南链接。也可能有更有效的方法来实现这一目标。

希望有帮助

Answer 2

我认为你的问题实际上是关于如何进行授权。另外，我怀疑您可能会将“belongs_to”模型关联名称与授权混为一谈。 “belongs_to”关联名称描述了一个模型如何与另一个模型相关，但它并不暗示应用程序如何控制对任何模型的访问。

Hishalv 是正确的，使用控制器过滤器是管理授权的正确方法。这是正确的 MVC 方式。仔细阅读 Rails 指南，以便您理解这一点。

然后，您可以考虑使用像 CanCan 这样的授权 gem，或者根据 Hishalv 的建议推出您自己的 gem。 CanCan 与像 Devise 这样的身份验证 gem 配合使用效果很好。如果您确实要自己开发，那么在 ApplicationController 中放置一个辅助方法并以无论模型如何都可以工作的方式编写它是一件简单的事情。

Answer 3

我一直觉得有点奇怪的是，当最终用户只想更新自己的帐户时，他们却暴露在 Rails“内部”中，例如 /users/2/edit。

所以我更喜欢调用它的方法

resource :account

而不是

resources :users

然后你有像 /account、/account/edit 等路径，并且只需要处理登录用户的数据。

Answer 4

如果你使用cancan然后

def validate_user
 unless current_user.id == params[:id].to_i
  raise CanCan::AccessDenied
 end
end

在application_controller中写

   rescue_from CanCan::AccessDenied do |exception|
    flash[:error] = "Access denied."
    redirect_to access_denied_path
  end