更新与 JSON 对象的关联

Question

我想使用 JSON API 更新 company.name。 user 属于company。我们可以做些什么来确保用户不应该更新他们不属于的公司？注意user 可能没有公司

我查看了validates_associated，但我不确定它会如何实现。注意，我们从前端传递了一个公司对象。

class User < ActiveRecord::Base
  belongs_to :company
end

class Company < ActiveRecord::Base
  has_many :users
end

class CompanyController < ApplicationController
  def update
    if @current_user.company.update_attributes(params[:company])
      render updated and return
    else
      render not_found and return
    end
  end
  def company_params
    params.require(:company).permit(:name)
  end
end

describe "#update" do
  it " company name" do
    @company.name = "new_name"
    put :update, :token_id => "fake_token_id", :id => @company.id, :company => {:name => @company.name}
  end
end

Answer 1

在您的 update 操作中执行此操作：

def update
  company = Company.find(params[:id])
  if !@current_user.company.nil? and company == @current_user.company
    if @current_user.company.update_attributes(params[:company])
      render updated and return
    else
      render fail_to_update and return
    end
  else
    render not_found and return
  end
end

Answer 2

由于您在 @current_user.company 上调用 update_attributes，因此该公司将始终属于 @current_user，并且它将是唯一被更新的公司。

现在，如果您出于任何原因将公司更新参数提交到您的#update 操作并且用户没有您可以添加的公司：

def update
  if @current_user.company && @current_user.company.update_attributes(params[:company])
    render updated
  else
    render not_found
  end
end