Pundit：授权嵌套资源中的索引

Question

将 Rails 4.2.4 与 Devise (3.5.2) 和 Pundit (1.0.1) 结合使用。 Decent_exposure (2.3.2)。

我有一个用户和创意的简单嵌套关联：

class User < ActiveRecord::Base
has_many :ideas
...

class Idea < ActiveRecord::Base
belongs_to :user
...

在 routes.rb 中

devise_for :users

resources :users do
  resources :ideas
end

如果 current_user 不是 Ideas 的所有者（在本例中，如果 current_user.id != 1），我只是试图禁止访问 users/1/ideas。 我不知道该怎么做。我可以在索引视图中只显示 current_user 想法：

[创意控制器]

def show
  authorize idea
end

[理念政策]

def show?
  @current_user == @idea.user
end

但是如何防止用户简单地导航到其他用户的创意索引页面？ 我想在 Ideas 控制器中我应该使用类似的东西：

def index
  authorize user
end

然后呢？如何将有关创意集合的信息发送到用户策略？ 还是我应该通过创意政策本身进行授权？

Answer 1

在此处复制my response on GitHub，因为这样会获得更多流量。

---

一种方法是创建用户拥有的存根Idea 进行授权。

def index
  @user = User::find(params[:user_id])
  idea  = Idea.new(user_id: @user.id)

  authorize idea

  # ...
end

以及IdeaPolicy 中的index? 方法

def index?
  record.user_id = user.id
end

另一种方法是更改​​您授权的对象。不是针对Idea 进行授权，而是针对User 进行授权。

def index
  @user = User::find(params[:user_id])

  authorize @user, :show_ideas?

  # ...
end

并在您的 UserPolicy 上创建一个新的 show_ideas? 方法

def show_ideas?
  user.id == record.id
end