Простая авторизация Rails с Pundit

posts_controller.rb

 [...]
after_action :verify_authorized, only: [:destroy]
[...]

Однако в некоторых случаях проверка авторизации может быть необоснованной, поэтому вы можете пропустить ее. Например, если уничтожаемая запись не была найдена, мы просто возвращаемся без дальнейших действий. Для этого [...]
after_action :verify_policy_scoped, only: [:user_posts]
[...]
skip_authorization

 [...]
def destroy
  if @post.present?
    authorize @post
    @post.destroy
  else
    skip_authorization
  end

  redirect_to posts_url, notice: 'Post was successfully destroyed.'
end

private

def set_post
  @post = Post.find_by(id: params[:id])
end
[...]

Разрешенные параметры

Последняя функция, которую мы собираемся обсудить, — это возможность определения разрешенных параметров в политиках Pundit. Обратите внимание, что для правильной работы вы должны использовать Rails 4 или Rails 3 с гемом strong_params .

Предположим, у нас есть некоторый «специальный» параметр, который могут изменять только администраторы. Давайте добавим соответствующую миграцию:

 $ rails g migration add_special_to_posts special:boolean

Немного измените миграцию:

xxx_add_special_to_posts.rb

 [...]
add_column :posts, :special, :boolean, default: false
[...]

и применить его:

 $ rake db:migrate

Теперь определите новый метод в ваших политиках:

политика / post_policy.rb

 [...]
def permitted_attributes
  if user.admin?
    [:title, :body, :special]
  else
    [:title, :body]
  end
end
[...]

Таким образом, администратор может установить все атрибуты, тогда как пользователи могут изменять только titlebody Наконец, обновите методы контроллера:

posts_controller.rb

 [...]
def create
  @post = Post.new
  @post.update_attributes(permitted_attributes(@post))

  if @post.save
    redirect_to @post, notice: 'Post was successfully created.'
  else
    render :new
  end
end

def update
  if @post.update(permitted_attributes(@post))
    redirect_to @post, notice: 'Post was successfully updated.'
  else
    render :edit
  end
end
[...]

permitted_attributes Внутри метода create@post Если вы делаете это:

 @post = Post.new(permitted_attributes(@post))

возникнет ошибка, потому что вы пытаетесь передать несуществующий объект в permitted_attributes

Вместо использования permitted_attributespost_params

posts_controller.rb

 [...]
def post_params
  params.require(:post).permit(policy(@post).permitted_attributes)
end
[...]

Наконец, измените представления:

просмотров / сообщений / _form.html.erb

 [...]
<div class="field">
  <%= f.label :special %><br>
  <%= f.check_box :special %>
</div>
[...]

просмотров / сообщений / _list.html.erb

 [...]
<thead>
<tr>
  <th>Title</th>
  <th>Body</th>
  <th>Special?</th>
  <th colspan="3"></th>
</tr>
</thead>
[...]

просмотров / сообщений / _post.html.erb

 <tr>
  <td><%= post.title %></td>
  <td><%= post.body %></td>
  <td><%= post.special? %></td>
  <td><%= link_to 'Show', post %></td>
  <td><%= link_to 'Edit', edit_post_path(post) %></td>
  <% if policy(post).destroy? %>
    <td><%= link_to 'Destroy', post, method: :delete, data: { confirm: 'Are you sure?' } %></td>
  <% end %>
</tr>

Теперь загрузите сервер и попытайтесь установить для «специального» параметра значение true, будучи обычным пользователем — вы не сможете этого сделать.

Вывод

В этой статье мы обсудили Pundit — отличное решение для авторизации, использующее базовые классы Ruby. Мы рассмотрели большинство его возможностей. Я рекомендую вам просмотреть его документацию, потому что вас может заинтересовать, как предоставить дополнительный контекст или указать класс политики вручную .

Вы когда-нибудь использовали Pundit раньше? Рассматриваете ли вы использовать его в будущем? Как вы думаете, это удобнее, чем CanCanCan, или это просто другое решение? Поделитесь своим мнением в комментариях!

Как всегда, я благодарю вас за то, что вы остались со мной. Если вы хотите, чтобы я осветил тему, не стесняйтесь спрашивать. Увидимся!