使用 Rails 3.1 :as => :admin 用于更新受 attr_accessible 保护的属性

Question

阅读Rails 3.1 API 中的 attr_accessible 后，我看到那里有一个 as :admin 选项。我想知道两件事。

1. 如果用户有管理员标志，我的控制器如何告诉我的模型该用户是管理员。

2. 如果用户是所有者，我可以指定 :as =>所有者 在我的模型中，我的控制器如何通知我的模型他们是某个项目的所有者。

Answer 1

没有与模型的内置集成；您在 assign_attributes 调用中传入角色：

@project.assign_attributes(params[:project], :as => :admin)

:as 参数默认为 :default，您可以传入任何您想要的符号。要将其集成到您的 User 模型中，您可以为其指定一个名为 role 的属性，然后执行以下操作：

@project.assign_attributes(params[:project], :as => current_user.role.to_sym)

您还可以使用 :without_protection< 绕过保护/code>：

@project.assign_attributes(params[:project], :without_protection => true)

以类似的方式，new、create、create!、update_attributes 和 update_attributes! 方法都遵循批量分配 安全。 Ruby on Rails 安全指南有 更多信息。

Answer 2

对于这两种情况，您都可以按照最初声明它的方式传递它。例如：

class User < ActiveRecord::Base
  attr_accessible :name
  attr_accessible :credit_card, :as => :admin
end

如果您

user = User.new(:name => "John", :credit_card => "1234123412341234")

这样做了，那么您将无法分配 credit_card：

user.attributes # {:name => "John", :credit_card => nil} 

但是，如果您声明它将是 :as =>; :admin 然后它允许

user = User.new({:name => "John", :credit_card => "1234123412341234"}, :as => :admin)
user.attributes # {:name => "John", :credit_card => "1234123412341234"} 

更多信息：

http://www.enlightsolutions.com/articles/whats-new-in-edge-scoped-mass-assignment-in-rails-3-1

Answer 3

您想要作为特定用户访问的所有属性都应该正确定义。例如：

    class User < ActiveRecord::Base
    attr_accessible :name
    attr_accessible :credit_card, :as => :admin
    end

这对我来说是错误的。
但是当我将其修改为

    class User < ActiveRecord::Base
    attr_accessible :name
    attr_accessible :name, :credit_card, :as => :admin
    end

当我使用时效果很好

    @user.update_attributes(params[:user], :as => :admin)