チェックCURRENT_USERは、リソースの所有者であると許可した場合に編集/削除アクション

Question

例：

ユーザー今写真リソース

photo: (id: 1 user_id = 10, url: "http://...") 

を作成しました（10 = ID）ユーザーの場合 B（id = 20）このURLに移動： /photos/1/editユーザーの写真を編集できます A !!!

Rails + Deviseにはデフォルトで何かが用意されていますか？レール4を、工夫

：

私はすべてのユーザーが編集することができます/ ONLYそれは使用して（ここで、CURRENT_USER == resource.user）

を作成したリソースを削除することを許可する必要があり

非常に一般的な問題だと思われます

更新：

私はカンカンが、それはあまりにも高度なものだと思います。私は役割が必要かapplication_controllerに

Answer 1

：

before_filter :require_permission, only: :edit 

def require_permission 
    if current_user != Photo.find(params[:id]).user 
    redirect_to root_path 
    #Or do something else here 
    end 
end 

Answer 2

書き込みに特定のユーザーに別のbefore_filterをいくつかのアクションを制限しない：

before_filter :has_permission? 

has_permission? 
controllers=["articles", "photos", "..."] 
actions=["edit", "destroy", "..."] 
id = params[:id] if (controllers.include?(params[:controller] && actions.include?(params[:action]) end 
if id && (current_user.id==(params[:controller][0...1].capitalize!+params[:controller].singularize[1...-1] + ".find(#{id}).user_id").send) 
return true 
else 
redirect_to root_url, :notice=>"no permission for this action" 
end 

helper_method :has_permission? 

をそして、あなたは、ユーザーが追従できないリンクを示すために、ビューでそれを使用することはできません。

これはもちろん、あなたのニーズに合わせて変更する必要があります。これはrailscasts

Answer 3

チェック、あなたがに実行されます

http://railscasts.com/episodes/192-authorization-with-cancan

合併症、

1. あなたが宝石を考案ユーザーモデルのカンカン認証は、認証

2. のために使用されたいですロールをデータベースに保存する場合

3. あなたはWebUIの

4. と詳細..から管理者としての役割へのアクセス権を割り当てる

あなたはそれらの機能のいずれかをしたい場合、私は幸せになります、コメントしてください助けてください。私は最近、他人からの大きな助けを借りて彼らをしてくれました。

次のように自分のリソースのためのサンプル能力は次のようにすることができ、あなたをPhotosControllerで

class Ability 
    include CanCan::Ability 

    def initialize(user) 

     user ||= User.new # guest users 
     send(user.role.name) 

     if user.role.blank? 
      can :read, User #for guest without roles 
     end 

    end 

    def man 
    can :manage, Photo 
    end 


    def boy 
    can :read, Photo 
    end 

    def kid 
    can :read, Article 
    end 

end 

Answer 4

カンカンがあまりにも進んでいる場合は、アクセサのIDを確認するにルーン必要がありますコントローラに...

if @user.id == @photo.user_id 
    # edit photo details 
else 
    redirect_to root_path, notice: "You! Shall! Not! Edit!" 

...またはそのような何かを使用して

Answer 5

あなたはRailsの団体を利用し、このようにそれを書き込むことができます。付属のIDと一緒に写真が現在のユーザーに属している場合にのみレコードを検索します

def edit 
    @photo = current_user.photos.find(params[:id]) 

    # ... do everything else 
end 

。そうでない場合、RailsはActiveRecord::RecordNotFound例外を発生させます。

もちろん、私はcurrent_userメソッドが利用可能で、Userモデルに文has_many :photosが含まれていると仮定しています。

Answer 6

したがって、gem deviseを使用しています。

この宝石は、現在ログインしているユーザーのためにcurrent_userを提供します。

PhotosController#editの方法では、私は以下のようなことをします。

def edit 
    @photo = Photo.find(params[:id]) 
    redirect_to root_path, notice: 'Thou Shalt Nought duuu dat :(' unless current_user.id == @photo.user_id 
    ... 
end 

この方法は、比較でクエリを実行する代わりに、2つのオブジェクトが既に存在するため、安価です。

Answer 7

最も簡単なのはroutes.rbを変更することです。

current_userパスに保存する写真を割り当てます。例えば

、

devise_for :users 

resources 'users' do 
    resources 'photos' 
end 

Answer 8

私はbefore_filterアクション内から例外を捕獲：

before_action :set_photo, only: [:edit, :update, :destroy] 

def set_photo 
    @photo = current_user.photos.find(params[:id]) 

    rescue ActiveRecord::RecordNotFound 
    redirect_to(root_url, :notice => 'Record not found') 
end 

が、これは誰かに役立ちます願っています。私はRails 4とRuby 2を使っています。