如何只允许管理员（或某些用户）编辑 Rails 中的页面？

Question

我有一个财务脚手架，我刚刚意识到任何登录用户都可以通过转到 /finances/1/edit 来编辑它

我已经安装了 activ_admin gem，但我认为这不是我需要的。如何确保除了管理员（或可能是某些用户）之外没有人可以编辑财务资源类型-I

编辑-我找到https://github.com/EppO/rolify，这是最好的选择还是我仍然可以做得更好，因为它可能有点矫枉过正？

编辑 1 - 我浏览了这个 https://github.com/EppO/rolify/wiki/Tutorial 并已将角色“admin”分配给 user = User.find(1)，一切顺利到控制台中的“ability.can? :manage, :all”，这表明用户 1 为真，其他用户为假。现在我不知道该怎么办？即使我在 Finance.rb 模型中添加了“资源化”，我仍然可以看到所有用户都能够编辑页面。有什么帮助吗？

Answer 1

好吧，我个人在我的项目中使用 rolify 并且喜欢它。但老实说，这非常容易实现，只需在您的用户模型中添加一列“admin”并将其默认设置为 false。当您希望用户成为管理员时，将属性更新为 true，然后要求 User.admin==true 访问财务编辑操作...您可以通过从控制器重定向非管理员用户（在财务编辑操作）

顺便说一句，如果您使用 devise 进行身份验证，请查看 Devise before_filter authenticate_admin?

Answer 2

我不确定您的模型是如何设置的，但假设您的 User 模型有一个管理列，您可以执行以下操作：

FinancesController < ApplicationController
  before_filter :must_be_admin, only: :edit

  def edit
    ...
  end

  private

  def must_be_admin
    unless current_user && current_user.admin?
      redirect_to root_path, notice: "Some message"
    end
  end
end

您可以在前置过滤器中添加任何需要的操作，例如before_filter :must_be_admin, only: [:edit, :destroy]

Answer 3

如果您希望在不推出自己的解决方案的情况下添加合理的用户授权，请务必查看CanCan。其作者 Ryan Bates 的 this screencast 也很有帮助。