在所有关联的控制器中使用Devise的current_user

Question

我对良好做法有疑问。 我即将为授权实施（刚刚开始）Pundit。 但是，在我的控制器中，说“项目和阶段”，我正在使用current_user将所有调用关联起来。 例如

class ProjectsController < ApplicationController
  before_action :authenticate_user!
  before_action :set_project, only: [:show, :edit, :update, :destroy]

  # GET /projects
  # GET /projects.json
  def index
    @projects = current_user.Projects.all
    authorize @projects    
  end

  # GET /projects/1
  # GET /projects/1.json
  def show
  end

  # GET /projects/1/edit
  def edit
  end

  private
    # Use callbacks to share common setup or constraints between actions.
    def set_project
      @project = current_user.projects.find(params[:id])
      authorize @project
    end

    # Never trust parameters from the scary internet, only allow the white list through.
    def project_params
      params[:title, :description]
    end
end

我将有更多与用户（或许多用户）相关联的关联。 以上是确保用户只能查看允许其浏览的项目的好方法吗？ 因此，不需要授权“宝石”吗？

在此先感谢Rudy

Answer 1

简短的答案：是的，您对Devise的current_user所做的事情很好。 至于授权宝石，您可能需要，也可能不需要。

更长的答案：

首先值得简要说明一下身份验证和授权之间的区别。

身份验证是关于说“这个用户是他们所说的吗？”。 如果我使用用户名“ bob”登录，并且还能够正确输入bob的密码，那么您的应用程序（通过devise的帮助）就可以说“确定，是的，我相信这个用户就是他们所说的那个人-我相信实际上是鲍勃在键盘的末端” 。 也就是说，鲍勃已通过身份验证 。

授权是指“是否允许该用户执行他们想做的事情”。 例如，鲍勃可能能够创建新项目，但可能不允许他删除项目。 也就是说，鲍勃有权创建项目，并无权删除它们。

好。 现在， 身份验证使您本身可以执行某种级别的授权 ，因为您可以说“登录的用户可以查看项目，而注销的用户则不能” 。 或者，您可能想说的是， “登录的用户可以查看自己的项目（但无人可以查看其他项目），但是注销的用户不能查看任何项目” 。

最后一种情况被登录用户称为“作用域”，您执行操作的方式（使用Devise的current_user ）就很好。

最后一件事是，除了Devise提供的授权外，是否需要身份验证 gem的问题。 如果您要做的只是区分已登录用户和未登录用户，那么Devise应该就是您所需要的，并且不需要身份验证gem。

另一方面，如果您需要更细粒度的身份验证（例如，既是管理员的登录用户也可以删除自己的项目，但不是管理员的登录用户只能查看自己的项目，而不能删除它们），那么除Devise之外，您可能还需要授权gem。

Answer 2

是。 如果您不需要任何高级控制功能（如只读）也可以。