使用 Pundit 授权控制器

Question

我正在学习使用 Pundit 进行授权。但我看到它的方式是授权资源而不是页面。如果用户无权使用 pundit 访问该页面，我希望将用户重定向到未经授权的页面。

例如

class OnlyAdminCanVisitController < ApplicationController
    before_filter :admin_authenticate

停止非管理员角色用户。

另外，我想处理像以下这样的虚构场景（考虑到有 4 个角色，管理员、经理、员工、局外人。下面的设计显然很糟糕）

    class AdminManagerCanVisitController < ApplicationController
        before_filter :admin_or_manager_authenticate

    class AdminEmployeeCanVisitController < ApplicationController
        before_filter :admin_or_employee_authenticate

   class AdminOutsiderCanVisitController < ApplicationController
        before_filter :admin_or_outsider_authenticate

    class AdminManagerEmployeeCanVisitController < ApplicationController
        before_filter :admin_or_manager_employee_authenticate

我有 4 个角色，想为这些控制器编写权威策略，允许任意组合授权。

如果权威人士旨在解决这个问题，请告诉我。

谢谢

Answer 1

实际上页面和资源之间并没有太大的区别。因此，您可以通过从您的 application_controller.rb 抢救被拒绝的授权来解决您的问题：

class ApplicationController < ActionController::Base
  include Pundit

  rescue_from Pundit::NotAuthorizedError, with: :user_not_authorized

  protected

  def admin_authenticate
    authorize current_user, :admin?
  end

  private

  def user_not_authorized(exception)
    # Redirect to whatever page you want if not authorized
  end
end

然后您需要定义您的策略。我通常在application_policy.rb (https://github.com/elabs/pundit#policies) 中创建一个admin? 方法，因此它也会在我的其他策略中传播：

class ApplicationPolicy
  def admin?
    # Logic to ensure the user is an admin
  end
end

class UserPolicy < ApplicationPolicy
end

然后在你的其他控制器中，就像你做的那样：

class OnlyAdminCanVisitController < ApplicationController
  before_action :admin_authenticate
end