CanCanCan: танец авторизации на Rails

projects_controller.rb

 load_and_authorize_resource

На самом деле этот метод состоит из двух методов: class ProjectsController < ApplicationController
load_and_authorize_resource
[...]
endload_resourceauthorize_resource Вы можете позвонить им по отдельности, если вам нравится:

 load_resource
authorize_resource

load_resourceauthorize_resourceindex Но как ресурс загружается для разных действий?

• Для Model.accessible_by(current_ability)accessible_by show
• Для editupdatedestroyfindModel.find(params[:id])new
• Для createnewfind
• Для пользовательских (не CRUD) действий ресурс будет загружен с использованием команды class ProjectsController < ApplicationController
  load_and_authorize_resource
  [...]

  def update
  if @project.update_attributes(project_params)
  flash[:success] = 'Project was updated!'
  redirect_to root_path
  else
  render 'edit'
  end
  end

  def create
  if @project.save
  flash[:success] = 'Project was saved!'
  redirect_to root_path
  else
  render 'new'
  end
  end

  def destroy
if @project.destroy
flash[:success] = 'Project was destroyed!'
else
flash[:warning] = 'Cannot destroy this project...'
end
redirect_to root_path
end
end

Итак, наш контроллер может быть упрощен следующим образом:

projects_controller.rb

 authorize!

Что изменилось?

• Я удалил authorize_resource вызовы метода, потому что index
• Во-вторых, я полностью удалил действия neweditload_resource@project = Project.find(params[:id])
• В-третьих, я удалил updatedestroy@project = Project.new(project_params)createload_resourcecreate_params

Да, я знаю, о чем ты думаешь. Как насчет сильных параметров? Как насчет сортировки и нумерации страниц? Что если я хочу пропустить загрузку и авторизацию ресурса для некоторых действий? Что делать, если мне нужен пользовательский искатель? Это замечательные вопросы, давайте обсудим их один за другим.

Сильные параметры . При инициализации ресурса CanCanCan проверяет, отвечает ли контроллер следующим методам:

• update_paramscreate_params CanCanCan собирается использовать один из этих методов для очистки входных данных в зависимости от текущего действия. Это круто, потому что вы можете определить различные правила очистки для создания и обновления.
• Если метод update_params_params project_params Метод — это то, что мы используем в нашей демонстрации ( resource_params
• Наконец, CanCanCan будет искать метод со статическим именем load_and_authorize_resource param_method: :my_sanitizer
• Вы также можете [...]
  before_action :load_projects, only: :index
  load_and_authorize_resource

  [...]

  private

  def load_projects
  @projects = Project.accessible_by(current_ability).order('created_at DESC')
  end

  [...]load_resource

• Если CanCanCan не смог найти ни один из этих методов в контроллере, и пользовательское дезинфицирующее средство не установлено, он будет инициализировать ресурс как обычно.

Переопределить загрузку ресурса . Например, я хочу, чтобы проекты на странице индекса сортировались по дате создания по убыванию. Вы можете сделать это легко:

projects_controller.rb

 before_action

Идея состоит в том, что @projects Пока я добавил load_resourceindexbefore_actionload_and_authorize_resource Важно поместить load_projectsперед accessible_by

Обратите внимание, что внутри load_and_authorize_resource only: :index
# or
load_and_authorize_resource except: :indexload_resource

Пропуск загрузки и авторизация ресурса . Если по какой-то причине вы хотите пропустить эти действия, просто напишите:

 find

 $ rails g migration add_ongoing_to_projects ongoing:boolean

 $ rake db:migrate

 <%= form_for @project do |f| %>
  <div class="form-group">
    <%= f.label :title %>
    <%= f.text_field :title, class: 'form-control' %>
  </div>

  <div class="form-group">
    <%= f.label :ongoing %>
    <%= f.check_box :ongoing %>
  </div>

  <%= f.submit 'Post', class: 'btn btn-primary' %>
<% end %>

 [...]
def project_params
  params.require(:project).permit(:title, :ongoing)
end
[...]

 [...]
if user.role?(:admin)
  can :manage, :all
elsif user.role?(:moderator)
  can :create, Project
  can :update, Project do |project|
    project.ongoing?
  end
  can :read, Project
elsif user.role?(:user)
  can :read, Project, ongoing: true
end
[...]

 can

 accessible_by

 check_authorization

 class PagesController < ApplicationController
  skip_authorization_check
end

 skip_authorization_check

 only

 check_authorization if: :admin_subdomain?

private

def admin_subdomain?
  request.subdomain == "admin"
end