保护要更新的属性

Question

我有一个 RPG 网站，我希望用户能够在注册时设置他们的名字，但在他们编辑个人资料时不能。 但我希望作为管理员能够编辑它。

由于我在更新操作中使用了 update_attributes，我认为他们能够不使用我提供的经典表单来更新他们的 first_name。

有没有办法通过 ActiveRecord 验证或简单地在 controller 中做到这一点？

提前致谢 ！

Answer 1

将attr_accessible:name, :as =>:admin添加到您的User model，并在注册 controller 中使用@user.update_attributes(params[:user], :as =>:admin) 。 update操作应该使用不带:as =>:admin选项的@user.update_attributes(params[:user]) 。

有关此主题的更多信息： Rails 3.1 概述

Answer 2

通过 controller 更容易做到这一点，因为 controller 是您可以访问登录用户的地方。 因此，在您的 controller 中：

# When the form is submitted
unless @current_user.is_an_admin?
  # List of attributes to allow non-admins to change
  allowed_fields = %w[allowed_field_1 allowed_field_2]
  # Remove any non-allowed fields from the params
  params[:user].delete_if {|key, value| !allowed_fields.include?(key.to_s)}
end
@user.update_attributes(params[:user])

您可以通过用户 model 来完成，但您必须有某种方法将编辑用户的状态传递给 model，然后添加一堆条件验证。