可以限制不应该访问的用户（Ruby on Rails）

Question

我在仅允许管理员用户查看和编辑他创建的用户时遇到问题。 我有一个分层系统：SuperUser> Admin>其他用户My SuperUser可以编辑所有用户，但是Admin用户只能编辑自己。 为了解决这个问题，我有一个creator_id参数，它为与当前用户ID相匹配的新用户提供了creator_id。

我的用户控制器：

class UsersController < ApplicationController
  #CanCan resource will generate a 500 error if unauthorized
  load_and_authorize_resource :user
  # GET /users
  # GET /users.json
  def index
    @users = User.all

    respond_to do |format|
      format.html # index.html.erb
      format.json { render json: @users }
    end
  end

  # GET /users/1
  # GET /users/1.json
  def show
    @user = User.find(params[:id])

    respond_to do |format|
      format.html # show.html.erb
      format.json { render json: @user }
    end
  end

  # GET /users/new
  # GET /users/new.json
  def new
    @user = User.new

    respond_to do |format|
      format.html # new.html.erb
      format.json { render json: @user }
    end
  end

  # GET /users/1/edit
  def edit
    @user = User.find(params[:id])
    #User.find(session[:user])
  end

  # POST /users
  # POST /users.json
  def create
    @user = User.new(params[:user])
    @user.creator = current_user

    respond_to do |format|
      if @user.save
        format.html { redirect_to @user, notice: 'Registration successful.' }
        format.json { render json: @user, status: :created, location: @user }
      else
        format.html { render action: "new" }
        format.json { render json: @user.errors, status: :unprocessable_entity }
      end
    end
  end

  # PUT /users/1
  # PUT /users/1.json
  def update
    @user = User.find(params[:id])
    #@user = current_user

    respond_to do |format|
      if @user.update_attributes(params[:user])
        format.html { redirect_to @user, notice: 'Successfully updated profile.' }
        format.json { head :no_content }
      else
        format.html { render action: "edit" }
        format.json { render json: @user.errors, status: :unprocessable_entity }
      end
    end
  end

  # DELETE /users/1
  # DELETE /users/1.json
  def destroy
    @user = User.find(params[:id])
    @user.destroy

    respond_to do |format|
      format.html { redirect_to users_url }
      format.json { head :no_content }
    end
  end
end

和我的capability.rb文件：

class Ability
  include CanCan::Ability

  def initialize(user)
    user ||= User.new  #Guest user w/o account

    #Permissions on what pages can be seen by which users, and what
    #Users can do with those pages
    if user.status == "Super User" 
      can :manage, :all
    elsif user.status == "Admin"
      can :manage, Book             
      can [:create,:new], User      
      can [:show, :update], User, :id => user.id 
      can :manage, User, :creator_id => user.id
    end
  end
end

我确实检查了数据库，它正确地将当前用户的ID分配给新用户的creator_id。 我只是被困住了。 Cancan一直拒绝更新这些用户的权限，但我不确定为什么。 任何帮助表示赞赏！

编辑

我的用户模型：

 class User < ActiveRecord::Base has_many :books has_many :listings has_many :orders belongs_to :organizations belongs_to :creator, class_name: 'User' attr_accessible :password, :email, :first_name, :last_name, :password_confirmation, :status, :username acts_as_authentic validates :first_name, :presence => true validates :last_name, :presence => true validates :username, :presence => true, :uniqueness => true validates :email, :presence => true, :uniqueness => true validates :status, :presence => true end 

Answer 1

好吧，只要再次阅读您的问题，就好像您希望管理员具有管理用户的权威权限。 在这种情况下，您可以在application_controller定义类似的内容

def correct_user
    if !params[:id].nil?
      @user.User.find_by_id(params[:id])
      if current_user.status :admin
        else
        access_denied unless current_user?(@user)
      end
    end
  end

这样做是允许管理员访问所有用户帐户，如果该用户不是管理员，则将拒绝他们访问。 您可以在控制器中使用before_filter启用此功能，以便可以执行诸如before_filter :correct_user, :only => [:edit, :show]这意味着只有正确的用户才能访问这些操作。 因此，您应该拥有一个类似于以下内容的UserController ：

class UsersController < ApplicationController
  load_and_authorize_resource
  before_filter :correct_user, :only => [:edit, :show]
  ..
  ....
   .....
end 

此示例表明，作为正确的用户或管理员，可以访问编辑和显示操作。

Answer 2

Try this.

def initialize(user)
  user ||= User.new

  if user.super_user?
    can :manage, :all
  elsif user.admin?
    can [:create, :new], User
    can [:show, :edit, :update], User do |usr|
      id == usr.id
    end
    can :manage, User do |usr|
      usr.creator_id == usr.id
    end
  end
end

In user model, add methods:

def has_status?(given_status)
  status == given_status
end

def admin?
  has_status? 'Admin'
end

def super_user?
  has_status? 'Super User'
end