Rails Web 服务授权

Question

我的 Rails 应用程序几乎是多个 Web 服务的前端。我坚持我的用户模型，仅此而已。我需要向我的网络应用程序添加授权，使用 Devise 进行身份验证。我注意到 CanCan 和 acl9 似乎主要在 ActiveRecord 模型的实例上工作。 CanCan 或 acl9 仍能满足我的需求吗？在我的情况下使用这两个库有什么建议吗？

我应该寻找更适合操作而不是实例的东西吗？

另外，这些都是基于角色的系统，我正在考虑使用基于权限的系统。他们仍然很合适吗？

Answer 1

我不能代表 acl9。然而，cancan wiki 确实声称“如果没有提供的话，很容易制作自己的[模型]适配器。” https://github.com/ryanb/cancan/wiki/Model-Adapter换句话说，即使您没有使用 ActiveRecord，您仍然可以使用 cancan。

话又说回来，如果你不打算拥有角色，你在 cancan 中的能力定义可能看起来有点多余，例如：

class Ability
  include CanCan::Ability

  def initialize(user)
    user ||= User.new # guest user (not logged in)

    can :create, Widget if user.has_permission(:create_widgets)
    can :delete, Widget if user.has_permission(:delete_widgets)
    can :herp, Derp if user.has_permission(:herp_derp)
  end
end

如果你可以仅使用 cancan 来实现其控制器操作授权方法，那就太好了，但我不这样做知道这是否可能。祝你好运。

Answer 2

只是为了（最后：）回答 acl9。

Acl9 由两个非常独立的部分组成，访问控制子系统，它是您放入控制器中的所有授权内容，以及 Role Subsystem设置/检查/删除经过身份验证的用户的角色。

访问控制子系统曾经调用的唯一是current_user.has_role?( role, obj=nil)。因此，角色子系统对 ActiveRecord、关联、数据库等具有零依赖性。有一个帮助器 (acts_as_authorization_subject)，它添加了一个依赖于 ActiveRecord 的 has_role?< /code> 方法到一个类，但这完全是可选的，您可以自由地实现自己的 has_role? 方法（也可以回退到调用super 获取 acl9）并根据需要实施访问检查。因此，您说您确实保留您的用户模型，但假设您希望用户的角色成为学校的管理员，但该学校是对某个远程系统的 Web 服务调用。

## in your model
class User < ActiveRecord::Base

  def has_role? role, obj=nil
    role == :admin  &&
      obj == school &&
      school[:admin] == id  # <-- just making up how we know we're the admin of the remote school
    end
  end

  def school
    @school ||= School.get_by_user_id(id)
  end
end

## in your controller
class SomeController < ApplicationController
  before_action :set_school

  access_control do
    allow :admin, of: :school
  end

  private
  def set_school
    @school = School.get_by_id(params[:school_id])
  end
end