CanCanCan用于非模型的自定义控制器

Question

我知道如何在Rails 5中使用CanCan限制RESTful应用程序的访问。

我的一些操作和控制器不是RESTful。

例如，我有一个带有user_report方法的report_controller。 没有直接链接到此控制器/操作的模型。

class ReportController < ApplicationController

  load_and_authorize_resource

  def user_report

  end

end

如何在ability.rb文件中定义一种能力来限制对此操作的访问？

Answer 1

在ability.rb定义一个这样的自定义能力：

can :view_reports, MyClass

在user_report操作中，手动授权该功能：

def user_report
  authorize! :view_reports, MyClass
  # ...
end

此外，从ReportController删除load_and_authorize_resource ，因为您正在调用authorize! 直。